「MySQL、ブラインド SQL インジェクションにより情報漏洩が発生」記事へのコメント

っていうか、これ

[gonta (11642)]

「ブラインド」SQLインジェクションって、区別するものなのかな？SQLインジェクションそのものだと思うんだけど。SQLインジェクションの種類わけならそれでもいいと思うんだが、何か別物のように聞こえてしまって/扱っているようで、違和感感じました。

PHPのソーシャルアプリを使っている人間に聞いたら、PDOでPlaceFolderを使ったクエリ作成（prepare使うやつ）は、使わないんだとか。PDOって処理速度が重いので、PV稼がなくてはいけないソーシャルアプリには不適切なんだとか。教科書どおりなら、SQLインジェクション防ぐのはprepare()が有効だと思うんだが・・・

--
-- gonta --
"May Macintosh be with you"

Re:

[Anonymous Coward]

さすがPHPer、期待に違わぬ残念さ。
Javaで速度を稼ぐためにPreparedStatementをやめたなんて話は聞いたことがないなあ(検索条件が動的に変化するので使えなかったということはあるけど)。むしろかえってparseが必要な分遅くなるとしか思えないんだけど。
実はDBMSがなんちゃってPreparedStatementしか用意されていないMySQLだったなんてオチはないよね。

Re:

[ootori (41812)]

詳細聞かずに、PHPerだと無条件でたたくのはやめたほうが良いと思いますよ。

たとえばJAVA屋さんだとDBコネクションをプーリングするのが常識みたいになってますけど、
ソーシャルアプリ業界ではプーリングするのは逆にご法度みたいな部分があったり
ジャンルによってノウハウって違いますからね。

DBあんまり詳しくないんでまちがってたらすいませんけど、毎回DB接続をオープン、クローズしてたらprepared statementでのSQL解析をするぶん速度は落ちるのではないでしょうか？
そういう意味ではPrepare statementやめて生SQL生成してそれ投げるというのはわかる気はしますね。

月間一億PV程度のしょぼいサイト(秒間最大200PVくらい)までしか扱ったことない私はprepare statement使っても問題ないとは思いますが、ソーシャルアプリとか秒間数千から数万のクエリさばく世界ですからね。
中途半端な知識の人間が根拠なしにPreparedStatementをやめたなんていってるとはおもえないんですけど･･･

Re:

[kou1slash (5979)]

prepared statement ってクエリキャッシュに載せるために使うものでコネクションプーリングとはあまり関係ないと思ってたんですがあってますかね？
「毎回DB接続をオープン、クローズした時のSQL解析」を高速化するためのの物という把握でした。

DBは幾らか分かるんですが、アプリは素人なんで変なコト言ってるかもしれませんけど…。

Re:っていうか、これ

[bero (5057)]

逆。prepared statementを使うとクエリキャッキュがきかない
http://dev.mysql.com/doc/refman/5.1/ja/query-cache-how.html [mysql.com]

Re:っていうか、これ

[quabbin (17251)]

http://dev.mysql.com/doc/refman/5.1-olh/ja/query-cache.html [mysql.com]

注意
MySQL 5.1.17 以降、項4.5.5.1. 「クエリキャッシュの動作」に説明されている条件の下で、クエリーキャッシュは準備済みステートメントに使用されます。5.1.17 より前では、クエリーキャッシュは準備済みステートメントに使用されません。

Re:っていうか、これ

[quabbin (17251)]

読んでみたら、もう少しバージョンによる制限がきつかったようで。
http://dev.mysql.com/doc/refman/5.1-olh/ja/query-cache-operation.html [mysql.com]

MySQL 5.1.21 より前では、PREPARE および EXECUTE で実行された準備済みステートメントの場合、? パラメータマーカーを含んでいるものはキャッシュされません。

とあるので、5.1.21以降であれば普通に使えるように読めますが、いかがでしょう？

# しかし、キャッシュが使用されない場合の注意書きが多いですね…

Re:

[Anonymous Coward]

そういうPHPの不具合を回避するためのバッドノウハウだったはずのものがいつの間にか「普遍の真理」になってしまうのは勘弁してもらいたいですね。