PDOに複文実行を禁止するオプションが追加されていた
エグゼクティブサマリ PHP 5.5.21、PHP 5.6.5 以降、PHPにPDO::MYSQL_ATTR_MULTI_STATEMENTSというオプションが追加され、PDO+MySQLの組み合わせで、SQLの複文を禁止できるようになった。この設定はSQLインジェクションの緩和策として有効である。 はじめに 2013年12月に公開した PHP+PDO+MySQLの組み合わせではSQLインジェクション攻撃で複文呼び出しが可能 にて、PDOとMySQLの組み合わせで、SQLインジェクションの文脈で複文呼び出しが可能であることを報告していましたが、その後のPHPのバージョンアップで、複文実行を禁止するオプションが追加されていましたので報告します。 対象のバージョンは以下の通りです。 PHP 5.5.21 以降 PHP 5.6.5 以降 全ての PHP 7.0、7.1 前述の記事を書いた後、3大
突然のUnbuffered Query…PDO+MySQLで入り込んだ迷宮 - Qiita
CodeIgniterをバージョンアップしたところ、思わぬ形でPHPのバグを踏んでしまいました。 MySQLのバッファモード トラブルに見舞われるまで知らなかったのですが、PHPからMySQLを使う場合には、「バッファモード」と「非バッファモード」があります（リファレンス）。 バッファモード…SQLを発行すると、自動的にPHP側へ全データを取ってくる。デフォルト設定。 非バッファモード…SQLを発行した段階ではまだデータを取ってこない。 一見すると、非バッファモードのほうが便利そうに見えるのですが、1つ大きな問題があります。非バッファモードの場合、一度投げたクエリを始末し切るまで次のクエリが投げられないのです。もちろん、それを意識した上でPDOなりMySQLiなりを直接叩くのであればまだ使いでもあるのですが、（非バッファモードに対応しない）フレームワーク経由でDB接続するとなると、どこでク
【php】MySQLに接続するときにエラー発生 at softelメモ
問題 mysql_connect()をすると次のようなエラー（警告）が発生し、接続できない。 Warning: mysql_connect(): [2002] No such file or directory (trying to connect via unix:///tmp/mysql.sock) ...... 解決策 ソースからインストールしたphpとRPMでインストールしたMySQLを使うと発生する。 お互いに想定した場所（デフォルトの場所）にソケットがないのが問題。 以下のどちらかの設定をおこなう。両方設定するとまた入れ違いになるのでどちらかを設定する。 php.iniにMySQLのソケットを設定して、RPMのMySQLに合わせる場合 mysql.default_socket="/var/lib/mysql/mysql.sock" mysqli.default_socket="
備忘録：PDOStatement->fetch()をを2回使用する場合
ご訪問ありがとうございます。『INFINITY BLUE』は、WEB+DB開発の情報や仕事の実績などを紹介しています。 通常設定で下記のようにPDOStatement->fetch()を2回使用すると、エラーとなります。 コード： dsn = 'mysql:host=接続先;dbname=データベース名' $user = 'ユーザ名' $pass = 'パスワード' $dbh = new PDO($dsn, $user, $pass, array(PDO::ATTR_PERSISTENT => 1)); // エラーが発生した場合、PDOException を投げるように設定 $dbh->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION); try { // QUERY $stmt = $dbh->prepar
Simple MySQL Master HA with mysqlnd_ms
All of Percona’s open-source software products, in one place, to download as much or as little as you need.
mysqlnd_ms について @my_pp - by shigemk2
アジェンダ mysqlnd と mysqlnd_msとは何か CentOSでの導入方法 @my_pp とは 株式会社あすか取締役副社長 '97からオープンソースに関わり、MySQL、PostgreSQL、Asteriskなどの オープンソースに関わる mysqlndとは mysql native driver for PHPの略で、mysql専用 PDO_MYSQLより動作は速い ライセンスはGlvpではなくPHPライセンス PHP以下でおくられてきたクエリーを、更新か検索かを 判断して自動的にマスタorスレーブに振り分ける (プログラマはマスタやスレーブについて意識しなくてもよい) スレーブについては、ランダムロビンで適当に負荷分散できるが、 現状ではフェイルオーバに対応していない mysqlnd_ms CentOS6.2で検索(Google) Free Dynamic DNS(DDNS
PHPからRDSのMySQLに対してSSL接続する | DevelopersIO
こんにちは。望月です。 RDSのMySQLにはSSLを使って接続することができます。今日はPHPから接続するところまで試したので、その設定手順をまとめます。 MySQLにSSL接続を行うことで、暗号化の処理の分パフォーマンスが悪化することが想定されます。 それなりの負荷のあるプロダクション環境で利用する際は、期待したパフォーマンスが得られるかどうかの検証を行った方がよいと思います。 RDSおよびMySQLの設定 RDSについては、何も設定を変更する必要はありません。通常通りRDSのMySQLインスタンスを立ち上げてください。 SSL接続のみ受け付けるユーザを作成する場合は、以下のコマンドを実行して、SSL接続のみを許可するユーザを作成して下さい。 GRANT USAGE ON *.* TO 'encrypted_user'@'%' REQUIRE SSL CA証明書の取得 SSL接続を行う
CentOS 6.4でNginx, php-fpｍ, MySqlでWordpressをいちから設定する手順 - コンユウメモ @kon_yu
使うのさくらのVPS ちょっとOSインストールされた状態から設定する機会があったから作業工程をメモ ユーザの作成から、SSHの設定してwordpress起動まで。MySQLやNginxの調整はしてない。 技術的にすごいことはしてないけど、これ系は忘れがちだし初心者様のお役に立てればと思う。 ちなみにcentOSのバージョン確認はこう > cat /etc/redhat-release CentOS release 6.4 (Final) ユーザ作成 > useradd xxx ユーザのパスワード作成 wheelグループに追加 > passwd xxx > usermod -G wheel xxx # グループに追加されているか確認 > cat /etc/group |grep xxx #ログアウトしてsshでログインできることを確認 wheelのユーザーだけsuできるようにする >emac
AMPPS – WAMP, MAMP and LAMP Stack
No need to wait for days to get the latest PHP version to test your app. AMPPS offers the latest PHP versions which include 8.1, 8.0, 7.4, 7.3, 7.2, 7.1, 7.0 and 5.6. Install the required PHP versions with just one click. We release updates for the PHP packages within as low as 24 hours from the release by PHP team. You can update the PHP versions when they are available with just one click.
PDOでの数値列の扱いにはワナがいっぱい（2） — A Day in Serenity (Reloaded) — PHP, CodeIgniter, FuelPHP, Linux or something
PHP Advent Calendar 2013 in Adventarの18日目です。昨日は、takc923さんの「PHPのissetの罠」でした。 「PDOでの数値列の扱いにはワナがいっぱい」を書いたところ、以下のように結構反響がありました。 PDOでの数値列の扱いにはワナがいっぱい — A Day in Serenity (Reloaded) — PHP, FuelPHP, Linux or something http://t.co/kDJAWzdMqr | 先日思いっきりハマったところ。 — K.K. (@kkmym) December 16, 2013 他の方も書いてるけど、バインドで型を明示すればおｋ / “PDOでの数値列の扱いにはワナがいっぱい — A Day in Serenity (Reloaded) — PHP, FuelPHP, Linux or somethin
PHP+PDO+MySQLの組み合わせではSQLインジェクション攻撃で複文呼び出しが可能
基礎からのPHPという書籍を読んでおりましたら、SQLインジェクションの攻撃例として、以下のSQL文ができあがる例が紹介されていました。PHP+PDO+MySQLという組み合わせです。 SELECT * FROM tb2 WHERE ban=1;delete from tb2 2つのSQL文がセミコロンで区切って1つにまとめられていますが、これを「複文(multiple statement)」と言います。私は、SQLインジェクション攻撃の文脈で複文が使える組み合わせを調べたことがあり、PHPとMySQLという組み合わせでは、複文は使えないと思っていましたので、この攻撃は成立しないのではないかと思いました。 しかし、決めつけも良くないと思い手元の環境で動かしてみたところ、あっさり動くではありませんか。 PDOを用いてMySQLを呼び出す場合は複文が実行できると気づきましたが、なぜPDOの場合
ISUCON予選にPHP実装で参加して3位になりましたーやったことなどまとめ
by @dekokun on 2013/10/06 20:15 Tagged as: contest. 今日(10/6)はISUCON3の予選2日目に参加しました。 「予選落ちだろうなー」と思いながら挑んだら、意外と3位(暫定。運営の方が提出したAMIを起動しベンチマーク実行し、提出したスコアと比べてあまりにもスコアが低かった場合は失格となる)で本選進出が決まったので嬉しくてブログ書いてます。 スコアは14379で、予選1日目と合わせて9位。 「チームたこやき」という名前で後輩2人と参加しました。 題名に「PHP実装で」と入れたのは、ディスられがちなPHP書きへのエールを込めてです。 基本的にやってたこと 以下、恒常的にやってたこと一覧と、その効果を。 xhprofでのプロファイリング 効果：圧倒的 facebook謹製プロファイリングツール、xhprof様でございます session_s
スクロール可能なカーソルとは？
What is PDO scrollable cursor? PDO の prepare メソッドのマニュアルに次のオプションが指定されているが、カーソルとは何かの説明がなかったので、検索したら stackoverflow の回答がでてきた。 $sth = $dbh->prepare($sql, [PDO::ATTR_CURSOR => PDO::CURSOR_FWDONLY]); スクロール可能なカーソルはイテレーションの巻き戻しが可能であり、同じ列に複数回アクセスできる。スクロール可能ではないカーソルはフォワードオンリーとしても知られ、列のフェッチは一度だけである。最後の列を取得すると SQLSTATE 02000 が返される。 PDO の定義済みの定数の説明では次のように書かれている。 PDO::CURSOR_FWDONLY は「前進のみ可能なカーソルを有する PDOStatemen
PDOにてMaster&Slaveのコネクションを操作するクラス(PHP)
皆様、ご無沙汰しております。笹亀です。 いよいよきたる、9/10に新しいiPhone5 S(仮名)が発表される予定ということで、iphone4を使っている自分は今回のタイミングで変更する予定なので、いまから発表が楽しみです。 さて、本日はフレームワークなどを利用している場合などであれば、あまり使用することはないですが、PDOを利用したレプリケーションしたデータベースのコネクションを切り分ける方法をご紹介したいと思います。PHPでも様々なフレームワーク（symfony,Cake,ZendFramwork）を使い開発をされるようになってきており、あまりレプリケーションの切り分けを考える必要がなくなってきておりますが、切り分けを行う方法（考え方）という視点で見ていただけますと幸いです。 ※尚、ご使用される場合は自己責任でお願い致します 概要について レプリケーションのコネクションを切り分けること
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
PHPで100万件バッチ回したら死ねる
ソーシャルゲーム案件におけるDB分割のPHP実装
mysql utf8 encoding - Discussion - Phalcon Framework
WampServer, the web development platform on Windows - Apache, MySQL, PHP
Which MySQL datatype to use for an IP address?
mysql_real_escape_string() vs. filter_input()