深入理解SET NAMES和mysql(i)_set_charset的区别
这篇讲的是在PHP操作MySQL时,看似效果相近的SET NAMES和mysqli_set_charset函数,其实存在一个关乎安全的重要差异。 作者从一次PHP安全编程培训切入,指出许多开发者混用这两个命令,但它们在协议层面的工作机制完全不同。SET NAMES仅仅是在MySQL服务器端设置字符集,它告诉服务器“我接下来发的数据是这个编码”,但并不会改变PHP客户端本身的编码认知。而mysqli_set_charset则不同,它通过专用协议命令,同时修改了客户端和服务器端的字符集。 关键差异在于:只有使用mysqli_set_charset后,PHP的mysql_real_escape_string函数才能基于正确的客户端字符集进行转义。如果仅用SET NAMES,转义函数可能因编码理解错误而失效,这为SQL注入攻击留下了潜在漏洞。文章清晰地指出了各自的使用场景:SET NAMES更适合用于纯数据库层面的字符集沟通,而涉及客户端与数据交互的编码设置,务必使用mysqli_set_charset以确保安全。这个区分是编写健壮PHP数据库代码的基础。