PDOにおける一応の安全宣言と残る問題点

8月18日にPHP5.3.7がリリースされました。このリリースにより、PDOのSQLインジェクションの問題が一応解決されたと判断しましたので、ここに「一応の安全宣言」を表明するとともに、残る問題について報告します。 PDOの問題とは何か 以前、ぼくがPDOを採用しなかったわけ(Shift_JISによるSQLインジェクション)にて報告したように、PHP5.3.5以前のPDOにはDB接続時に文字エンコーディングを指定する機能がないため、文字列リテラルのエスケープの際に文字エンコーディングをLatin1を仮定してしまうという問題がありました。この状態ですと、DBにShift_JISで接続している際に、SQLインジェクション脆弱性が混入しました。 ※ 実は、先のエントリの「追記(2010/07/01 22:20)」に紹介した方法で文字エンコーディングを指定できるのですが、ほとんど知られていないのと

[ymkjp]

PDO::ATTR_EMULATE_PREPARES => false で静的プレースホルダを使うように指定したら返り値も整数型になっててハマった（デフォルトでは文字列）。

[oppara]

PDOにおける一応の安全宣言と残る問題点 | 徳丸浩の日記

[tmf16]

知らなかった。まあDBにsjisで突っ込んでるサイト持ってないけど

[lizy]

プレースホルダ使ってもダメなのか、と思ったら動的ってのだと勝手に展開してしまうのね

[fukken]

文字コード指定周りが直ったらしい//しかし、Shift_JISは一体あと何年足を引っ張るのだろう

[ghostbass]

IN句に沢山パラメータ指定したら(なんちゃらマスタのほぼ全部ｗ)パラメータの数が多すぎるエラーとか何とかになるとかで埋め込むしかないです！、というのをC#のSqlClientで経験。どうやらquote()はまだまだ必要らしいです

[ockeghem]

日記書いた