我總結ThinkPHP的PDO封裝可以用買櫝還珠來下結論，表面上封裝了PDO支援，但實際卻並沒有使用到PDO的精髓部分，這不是買櫝還珠是什麼呢？

花了一些時間瞭解到ThinkPHP 3.1框架，其官方網站上對其描述得相當不錯，但隨著我閱讀其程式碼，事實並不是想象的那麼好，特別是PDO封裝這一部分，處理得相當糟糕，遠不如使用原生態的PDO安全, 只是簡單地使用addslashes處理使用者提交的資料，並沒有使用到PDO的精髓部分：prepare預處理和引數化查詢。這樣其實帶來的SQL注入的風險更大，建議對安全性要求較高的環境，不要使用addslashes處理使用者提交的內容，如有可能不要使用

首先，分析為何addslashes會在特定條件下造成注入漏洞

請閱讀以下幾個文章，可得知為何變數使用addslashes處理後仍然造成SQL注入，

PHP字元編碼繞過漏洞--addslashes、mysql_real_escape漏洞 

http://blog.csdn.net/zhuizhuziwo/article/details/8525789

addslashes：會導致ＳＱＬ注入漏洞 

http://blog.csdn.net/felio/article/details/1226569

可以說，從這點上來看，ThinkPHP框架自吹的水分很多，遠不如想象的那麼好。另外 PHPCMS v9網上暴露的SQL注入漏洞超多，也是因為其依賴addslashes防止SQL注入（結果證明漏洞更多）。

另外，為了從根本上防止SQL注入，PHP手冊上給出的說明：

Prepared statements and stored procedures

Many of the more mature databases support the concept of prepared statements. 

What are they? They can be thought of as a kind of compiled template for the SQL 

that an application wants to run, that can be customized using variable parameters. 

Prepared statements offer two major benefits: 

The query only needs to be parsed (or prepared) once, but can be executed multiple times 

with the same or different parameters. When the query is prepared, the database will analyze, 

compile and optimize its plan for executing the query. For complex queries this process can 

take up enough time that it will noticeably slow down an application if there is a need to 

repeat the same query many times with different parameters. By using a prepared statement 

the application avoids repeating the analyze/compile/optimize cycle. 

This means that prepared statements use fewer resources and thus run faster.

The parameters to prepared statements don't need to be quoted; the driver automatically handles this. 

If an application exclusively uses prepared statements, 

the developer can be sure that no SQL injection will occur 

(however, if other portions of the query are being built up with unescaped input, SQL injection is 

still possible). 

Prepared statements are so useful that they are the only feature that PDO will emulate for 

drivers that don't support them. This ensures that an application will be able to use 

the same data access paradigm regardless of the capabilities of the database. 

也就是說，PHP官方強烈推薦使用PDO的prepare機制，使用引數化查詢，即SQL查詢模板與變數分離提交，使用bindValue, bindParam的方式處理使用者提交資料，一方面可提升效能，另一方面可從根本上杜絕SQL注入問題。

但很可惜的是 ThinkPHP仍然使用addslashes方式處理變數，可見其處理方法極其陳舊，充滿SQL注入的風險。

事實上，這套框架在此方面處理的相當糟糕。

讓我們追蹤ThinkPHP程式碼，找到其處理資料的方式

Model::save($data='',$options=array())方法用於儲存資料，實際上呼叫了 $this->db->update($data,$options)

再觀察DbPdo::update()方法，由Db類繼承而來，關鍵點是：$this->parseSet($data)

protected function parseSet($data) {

       foreach ($data as $key=>$val){

            $value   =  $this->parseValue($val);

            if(is_scalar($value)) // 過濾非標量資料

                $set[]    = $this->parseKey($key).'='.$value;

        }

        return ' SET '.implode(',',$set);

    }

parseValue方法中，關鍵點是escapeString, DbPdo的方法中：

public function escapeString($str) {

         switch($this->dbType) {

            case 'PGSQL':

            case 'MSSQL':

            case 'SQLSRV':

            case 'MYSQL':

return addslashes($str);

            case 'IBASE':                

            case 'SQLITE':

            case 'ORACLE':

            case 'OCI':

                return str_ireplace("'", "''", $str);

        }

}

即簡單地使用addslashes處理輸入變數。

我覺得ThinkPHP中雖然提供了PDO的支援，但實際上還是使用了addslashes方式處理變數，絲毫沒有使用到PDO的精髓部分， prepare預處理SQL, bindValue, bindParam繫結輸入變數。

我認為這只是自欺欺人的做法，表面上聲稱支援PDO，但完全是金玉其外，敗絮其中。 可以哄騙一些小白程式設計師而已，並不到達到其標稱的安全性目標。

如果您使用了ThinkPHP框架，我只能認為你相當的不幸，並默默為你祈禱你的站點沒有受到SQL注入攻擊了。

那麼，如何處理這個問題卻是留給我們的重大問題，如果你的專案使用了ThinkPHP，這時候修改框架或是換框架是相當不現實的，那麼只能從擴充套件ThinkPHP的資料庫訪問層類入手，對其進行處理了。

處理辦法如下：

重寫ThinkPHP的資料庫訪問層

1. 在專案目錄 lib中新建立檔案DbPdoMysql.class.php， 在其中定義DbPdoMysql類，並實際crud的四大方法， 如：

class DbPdoMysql extends DbPdo {    

    public function delete($sql, array $params = array() ) {

    }

    public function update(array $data, array $options=array(), array $params=array()){

    }

    public function insert($data,$options=array(),$replace=false, array $params=array() ) {

    }

    public function select($options=array(), array $params=array() ) {

    }

}

然後，具體使用PDO作引數化查詢的處理，請查閱PHP手冊和ThinkPHP框架的資料庫處理流程。

然後，再建立新類，繼承自Moble，並重寫其四大CRUD處理，大致如下：

class DbPdoMysql extends DbPdo {

    public function delete($conditions='', array $params = array() ) {

    }

    public function update(array $data, $conditions='', array $params=array()){

    }

    public function insert(array $data,$options=array(),$replace=false) {

    }

    public function select($options=array(), array $params=array() ) {

    }

}

然後，我們在使用模型進行資料庫操作時，需要特殊處理一下，不能使用舊的方式處理資料庫，以免造成更嚴重的SQL注入問題。

查詢資料時：

$model -> select('where id = ? And name =?', array($_GET['id'], $_GET['name']) )

刪除資料時：

$model->delete('where id = ?',  array($_GET['id']))

插入資料時使用以前程式碼即可（DbPdoMysql類中應該完成引數化處理）

強烈建議您根據本文提供的思路，對使用ThinkPHP的專案進行安全處理，以免造成潛在的安全隱患。

另外，關於PDO的防注入原理分析及使用注意事項，請參閱我的文章

PDO防注入原理分析以及使用PDO的注意事項

http://zhangxugg-163-com.iteye.com/blog/1835721

若有異議，請聯絡筆者信箱 [email protected], 歡迎探討交流。