不推荐使用mysql扩展,将来会删除它:使用mysqli或PDO代替

egg*_*yal 165 php mysql deprecated

当我尝试从PHP连接到MySQL服务器时,我看到以下错误:

不推荐使用:不推荐使用mysql扩展,将来会将其删除:在第123行的/path/to/filename.php中使用mysqli或PDO

引用行上的代码是:

mysql_connect($server, $username, $password);
Run Code Online (Sandbox Code Playgroud)

我确信这些论点是正确的,而且这个确切的代码已经工作多年而没有问题.实际上,我是从PHP的一个很好的教程中获得的.

  1. 为什么会这样?

  2. 我该如何解决?

  3. 据我所知,这是可以通过设置来抑制弃用错误error_reportingphp.ini排除E_DEPRECATED:

    error_reporting = E_ALL ^ E_DEPRECATED
    
    Run Code Online (Sandbox Code Playgroud)

    如果我这样做会怎么样?

egg*_*yal 181

  1. 为什么会这样?

    整个ext/mysqlPHP扩展,提供所有以前缀命名的函数mysql_,在PHP v5.5.0中正式弃用,在PHP v7中删除.

    它最初是在PHP v2.0(1997年11月)中针对MySQL v3.20引入的,自2006年以来没有添加任何新功能.再加上缺少新功能,难以在复杂的安全漏洞中维护这些旧代码.

    自2011年6月以来,该手册包含了对新代码使用的警告.

  2. 我该如何解决?

    正如错误消息所示,您可以考虑另外两个MySQL扩展:MySQLiPDO_MySQL,其中任何一个都可以代替使用ext/mysql.从v5.0开始,两者都在PHP核心中,所以如果你使用的是抛出这些弃用错误的版本,那么你几乎可以肯定只是立即开始使用它们 - 即无需任何安装工作.

    他们略有不同,但提供了一些优于旧的扩展包括交易API的支持,存储过程和预处理语句(从而提供最佳的方式击败SQL注入攻击).PHP开发人员Ulf Wendel已经对这些功能进行了全面的比较.

    Hashphp.org有一个关于从ext/mysqlPDO 迁移优秀教程.

  3. 据我所知,这是可以通过设置来抑制弃用错误error_reportingphp.ini排除E_DEPRECATED:

    error_reporting = E_ALL ^ E_DEPRECATED
    
    Run Code Online (Sandbox Code Playgroud)

    如果我这样做会怎么样?

    是的,可以抑制此类错误消息并ext/mysql暂时继续使用旧扩展.但是你真的不应该这样做 - 这是开发人员的最后一个警告,即扩展可能不会与未来的PHP版本捆绑在一起(事实上,正如已经提到的,它已从PHP v7中删除).相反,你应该利用这个机会将应用程序迁移,现在,这是为时已晚.

    另请注意,此技术将禁止所有 E_DEPRECATED消息,而不仅仅是那些与ext/mysql扩展有关的消息:因此您可能不知道将对PHP进行的其他即将发生的更改会影响您的应用程序代码.当然,可以通过使用PHP的错误控制操作符来抑制在表达式上出现的错误 - 在前面添加相关的行 - @但是这将抑制该表达式引发的所有错误,而不仅仅是E_DEPRECATED那些错误.


你该怎么办?

  • 你正在开始一个新项目.

    这里是绝对没有理由使用ext/mysql-选择其他的,更现代,功能扩展,而不是一个并获得他们所提供的好处的回报.

  • 您拥有(您自己的)当前依赖的遗留代码库ext/mysql.

    执行回归测试是明智的:在确定所有潜在的影响区域之前,您确实不应该更改任何内容(特别是升级PHP),计划围绕每个影响区域,然后在暂存环境中彻底测试您的解决方案.

    • 遵循良好的编码实践,您的应用程序是以松散集成/模块化的方式开发的,数据库访问方法都是自包含在一个地方,可以轻松地换出一个新的扩展.

      花半个小时重写这个模块,使用另一个更现代的扩展; 彻底测试.您可以稍后介绍进一步的改进,以获得他们提供的好处的回报.

    • 数据库访问方法遍布整个地方,并且无法轻易换出其中一个新扩展.

      考虑一下你是否真的需要升级到PHP v5.5.

      您应该开始计划更换ext/mysql其他更现代化的扩展,以便您可以获得他们提供的好处的回报; 您也可以将它用作将数据库访问方法重构为更模块化结构的机会.

      但是,如果您迫切需要立即升级PHP,则可以考虑暂时禁止弃用错误:但首先要确保识别同时引发的任何其他弃用错误.

  • 您正在使用依赖于的第三方项目ext/mysql.

    考虑一下你是否真的需要升级到PHP v5.5.

    检查开发人员是否已发布与此特定问题相关的任何修复,变通方法或指导; 或者,如果没有,请通过引起他们的注意来迫使他们这样做.如果您迫切需要立即升级PHP,可以考虑暂时禁止弃用错误:但首先要确保识别任何其他已弃用的弃用错误.

    执行回归测试绝对必要.

  • 请还建议/建议用事先准备好的声明,,,很多时候我看到使用PDO或mysqli的查询以同样的方式作为MySQL的连他们都无法逃逸单引号这是相当危险的多用户 (4认同)
  • @NullPointer:它已经说"*他们......提供......准备好的陈述(从而提供[最佳方式](http://stackoverflow.com/a/60496)来打败[SQL注入攻击](http:/ /stackoverflow.com/q/332365))*".我真的不想在这个答案中给出参数化查询的例子,因为它与手头的问题并不紧密相关; 你怎么认为它可以更清楚? (4认同)
  • 如果你想要一个快速而又脏的修复,只需在mysql_connect之前放置@来抑制它.例如.@mysql_connect(...); 通过这种方式,您不必更改任何其他配置.使用其余的mysql_函数都可以.只有mysql_connect()才会显示此消息. (2认同)
  • @FranKee:如果不将这些用户生成的标题存储在数据库中,该存储在哪里?您所指的“跟我说话”攻击是什么?在没有MySQL数据库的情况下使用mysql_real_escape_string()绝对是不成功的正确方法(因为它会根据MySQL数据库连接的字符集来转义字符串,而您没有这个字符集!) 。如果您想防止XSS攻击,则应使用[`htmlentities()`](https://php.net/manual/zh-CN/function.htmlentities.php)。对于其他任何攻击,请详细说明确切的威胁。 (2认同)