AOP MySQL: Use AOP:: ATTR EMULATE PREPARES or not?

pour répondre à vos préoccupations:

1. MySQL >= 5.1.17 (ou >= 5.1.21 pour les déclarations PREPARE et EXECUTE ) peut utiliser des déclarations préparées dans le cache de requête . Ainsi, votre version de MySQL + PHP peut utiliser des déclarations préparées avec le cache de requête. Cependant, notez attentivement les mises en garde concernant la mise en cache des résultats des requêtes dans la documentation MySQL. Il existe de nombreux types de requêtes qui ne peuvent pas être mises en cache ou qui sont inutile, même si elles sont mises en cache. D'après mon expérience, le cache de requête n'est pas souvent une grande victoire de toute façon. Les requêtes et les schémas ont besoin d'une construction spéciale pour utiliser au maximum le cache. Souvent la mise en cache au niveau de l'application finit par être nécessaire à long terme.

2. Native prépare ne fait aucune différence pour la sécurité. Les déclarations pseudo-préparées échapperont toujours aux valeurs des paramètres de requête, elles seront simplement faites dans la bibliothèque PDO avec des chaînes de caractères au lieu de sur le serveur MySQL en utilisant le protocole binaire. En d'autres termes, le même code AOP sera tout aussi vulnérable (ou non-vulnérable) aux attaques par injection quel que soit votre réglage EMULATE_PREPARES . La seule différence est lorsque le remplacement du paramètre se produit--avec EMULATE_PREPARES , il se produit dans la bibliothèque AOP; sans EMULATE_PREPARES , il se produit sur le serveur MySQL.

3. sans EMULATE_PREPARES vous pourriez avoir des erreurs de syntaxe au moment de la préparation plutôt qu'au moment de l'exécution; avec EMULATE_PREPARES vous n'obtiendrez des erreurs de syntaxe qu'au moment de l'exécution parce que PDO n'a pas de requête à donner à MySQL jusqu'au moment de l'exécution. Notez que affecte le code que vous écrirez ! Surtout si vous utilisez PDO::ERRMODE_EXCEPTION !

une contrepartie supplémentaire:

• il y a un coût fixe pour un prepare() (en utilisant des déclarations préparées par les autochtones), donc un prepare();execute() avec des instructions natives préparées peut être un peu plus lent que l'émission d'une requête textuelle simple en utilisant des instructions préparées émulées. Sur de nombreux systèmes de bases de données, le plan de requête pour un prepare() est mis en cache et peut être partagé avec plusieurs connexions, mais je ne pense pas que MySQL fasse cela. Ainsi, si vous ne réutilisez pas votre objet de déclaration préparé pour des requêtes multiples, votre exécution globale peut être plus lente.

en tant que recommandation finale , je pense qu'avec les versions plus anciennes de MySQL+PHP, vous devriez émuler les déclarations préparées, mais avec vos versions très récentes vous devriez désactiver l'émulation.

après avoir écrit quelques applications qui utilisent PDO, j'ai créé une fonction de connexion PDO qui a ce que je pense être les meilleurs paramètres. Vous devriez utiliser quelque chose comme ceci ou modifier vos paramètres préférés:

/**
 * Return PDO handle for a MySQL connection using supplied settings
 *
 * Tries to do the right thing with different php and mysql versions.
 *
 * @param array $settings with keys: host, port, unix_socket, dbname, charset, user, pass. Some may be omitted or NULL.
 * @return PDO
 * @author Francis Avila
 */
function connect_PDO($settings)
{
    $emulate_prepares_below_version = '5.1.17';

    $dsndefaults = array_fill_keys(array('host', 'port', 'unix_socket', 'dbname', 'charset'), null);
    $dsnarr = array_intersect_key($settings, $dsndefaults);
    $dsnarr += $dsndefaults;

    // connection options I like
    $options = array(
        PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION,
        PDO::ATTR_DEFAULT_FETCH_MODE => PDO::FETCH_ASSOC
    );

    // connection charset handling for old php versions
    if ($dsnarr['charset'] and version_compare(PHP_VERSION, '5.3.6', '<')) {
        $options[PDO::MYSQL_ATTR_INIT_COMMAND] = 'SET NAMES '.$dsnarr['charset'];
    }
    $dsnpairs = array();
    foreach ($dsnarr as $k => $v) {
        if ($v===null) continue;
        $dsnpairs[] = "{$k}={$v}";
    }

    $dsn = 'mysql:'.implode(';', $dsnpairs);
    $dbh = new PDO($dsn, $settings['user'], $settings['pass'], $options);

    // Set prepared statement emulation depending on server version
    $serverversion = $dbh->getAttribute(PDO::ATTR_SERVER_VERSION);
    $emulate_prepares = (version_compare($serverversion, $emulate_prepares_below_version, '<'));
    $dbh->setAttribute(PDO::ATTR_EMULATE_PREPARES, $emulate_prepares);

    return $dbh;
}