PDOに複文実行を禁止するオプションが追加されていた

エグゼクティブサマリ PHP 5.5.21、PHP 5.6.5 以降、PHPにPDO::MYSQL_ATTR_MULTI_STATEMENTSというオプションが追加され、PDO+MySQLの組み合わせで、SQLの複文を禁止できるようになった。この設定はSQLインジェクションの緩和策として有効である。 はじめに 2013年12月に公開した PHP+PDO+MySQLの組み合わせではSQLインジェクション攻撃で複文呼び出しが可能 にて、PDOとMySQLの組み合わせで、SQLインジェクションの文脈で複文呼び出しが可能であることを報告していましたが、その後のPHPのバージョンアップで、複文実行を禁止するオプションが追加されていましたので報告します。 対象のバージョンは以下の通りです。 PHP 5.5.21 以降 PHP 5.6.5 以降 全ての PHP 7.0、7.1 前述の記事を書いた後、3大

[ockeghem]

日記書いた

[asakura-t]

こんなに早くmodphpallの活用事例記事が書かれるとは（笑）

[miruto]

次に書く時追加しないと(´･∀･`)

[rti7743]

これはいい機能。開発者GJ

[ko-ya-ma]

“複文が使えなくなると、SQLインジェクションによる改ざんがほぼできなくなると考えられますので、情報漏えいによる実害があまりなく、改ざんが主な脅威であるようなサイトには特に有力な緩和策になります”

[photoblg]

追加しておこう。

[tachi3927]

PDOの複文禁止設定、大抵の業務アプリでは複文は使わないから、かなり有効だろうな

[yuta_hayakawa]

これはよい情報。手持ちのプロダクトに取り入れよう。