Apache Module mod_dbd

Summary

mod_dbd управляет подключениями к базам данных SQL с помощью APR. Модуль предоставляет подключения к базам данных по запросу модулям, требующим функций SQL, и заботится о управлении базами данных с оптимальной эффективностью и масштабируемостью как для поточных, так и для непоточных MPM. Подробности см. на сайте APR и в этом обзоре Apache DBD Framework, написанном его первоначальным разработчиком.

Пулы подключений

Этот модуль управляет подключениями к базам данных, оптимизированными для платформы. На непоточных платформах он предоставляет постоянное подключение в стиле классического LAMP (Linux, Apache, Mysql, Perl/PHP/Python). На поточных платформах он предоставляет значительно более масштабируемый и эффективный пул подключений, как описано в этой статье на ApacheTutor. Обратите внимание, что mod_dbd заменяет модули, представленные в этой статье.

Подключение

Для подключения к вашей базе данных вам необходимо указать драйвер и параметры подключения. Они различаются в зависимости от используемого движка базы данных. Например, для подключения к mysql выполните следующие действия:

DBDriver mysql
DBDParams host=localhost,dbname=pony,user=shetland,pass=appaloosa

Затем вы можете использовать это подключение в различных других модулях, включая mod_rewrite, mod_authn_dbd, и mod_lua. Дополнительные примеры использования приведены в документации каждого из этих модулей.

См. DBDParams для получения информации о строках подключения для каждого поддерживаемого драйвера базы данных.

API Apache DBD

mod_dbd экспортирует пять функций для использования другими модулями. API выглядит следующим образом:

typedef struct {
    apr_dbd_t *handle;
    apr_dbd_driver_t *driver;
    apr_hash_t *prepared;
} ap_dbd_t;

/* Export functions to access the database */

/* acquire a connection that MUST be explicitly closed.
 * Returns NULL on error
 */
AP_DECLARE(ap_dbd_t*) ap_dbd_open(apr_pool_t*, server_rec*);

/* release a connection acquired with ap_dbd_open */
AP_DECLARE(void) ap_dbd_close(server_rec*, ap_dbd_t*);

/* acquire a connection that will have the lifetime of a request
 * and MUST NOT be explicitly closed.  Return NULL on error.
 * This is the preferred function for most applications.
 */
AP_DECLARE(ap_dbd_t*) ap_dbd_acquire(request_rec*);

/* acquire a connection that will have the lifetime of a connection
 * and MUST NOT be explicitly closed.  Return NULL on error.
 */
AP_DECLARE(ap_dbd_t*) ap_dbd_cacquire(conn_rec*);

/* Prepare a statement for use by a client module */
AP_DECLARE(void) ap_dbd_prepare(server_rec*, const char*, const char*);

/* Also export them as optional functions for modules that prefer it */
APR_DECLARE_OPTIONAL_FN(ap_dbd_t*, ap_dbd_open, (apr_pool_t*, server_rec*));
APR_DECLARE_OPTIONAL_FN(void, ap_dbd_close, (server_rec*, ap_dbd_t*));
APR_DECLARE_OPTIONAL_FN(ap_dbd_t*, ap_dbd_acquire, (request_rec*));
APR_DECLARE_OPTIONAL_FN(ap_dbd_t*, ap_dbd_cacquire, (conn_rec*));
APR_DECLARE_OPTIONAL_FN(void, ap_dbd_prepare, (server_rec*, const char*, const char*));

SQL подготовленные запросы

mod_dbd поддерживает SQL подготовленные запросы от имени модулей, которые могут их использовать. Каждый подготовленный запрос должен быть назначен имя (метка), и они хранятся в хеше: поле prepared объекта ap_dbd_t. Элементы хеша имеют тип apr_dbd_prepared_t и могут быть использованы в любом из apr_dbd подготовленных запросов SQL или команд выборки.

Модули-пользователи dbd должны использовать подготовленные запросы и документировать, какие запросы могут быть указаны в httpd.conf, или предоставить собственные директивы и использовать ap_dbd_prepare.

ПРЕДУПРЕЖДЕНИЕ О БЕЗОПАСНОСТИ

Любое веб/базовое приложение должно защищаться от атак с использованием SQL-инъекций. В большинстве случаев Apache DBD безопасен, так как приложения используют подготовленные запросы, а недоверенные данные используются только как данные. Конечно, если вы используете его через модули сторонних разработчиков, убедитесь в принятых ими мерах предосторожности.

Однако драйвер FreeTDS изначально небезопасен. Базовая библиотека не поддерживает подготовленные запросы, поэтому драйвер эмулирует их, и недоверенные данные включаются в SQL-запрос.

Его можно сделать безопасным, удаляя все входные данные: процесс, вдохновленный проверкой наличия вредоносных данных в Perl. Каждый входной параметр проверяется на соответствие регулярному выражению, и используется только совпадение, в соответствии с приемом Perl:

$untrusted =~ /([a-z]+)/; $trusted = $1;

Для этого регулярные выражения для удаления нежелательных данных должны быть включены в конфигурацию подготовленных запросов. Регулярное выражение следует сразу за символом % в подготовленном запросе и заключено в фигурные скобки {}. Например, если ваше приложение ожидает буквенно-цифровые данные, вы можете использовать:

"SELECT foo FROM bar WHERE input = %s"

с другими драйверами, и ничего хуже, чем неудачный запрос, не произойдёт. Но с FreeTDS вам понадобится:

"SELECT foo FROM bar WHERE input = %{([A-Za-z0-9]+)}s"

Теперь все, что не соответствует совпадению $1 в регулярном выражении, отбрасывается, поэтому запрос безопасен.

Альтернативой этому может быть драйвер ODBC сторонних разработчиков, который обеспечивает безопасность истинных подготовленных запросов.

DBDExptime time-in-seconds

DBDExptime 300

DBDInitSQL "SQL statement"

DBDKeep number

DBDKeep 2

DBDMax number

DBDMax 10

DBDMin number

DBDMin 1

DBDParams param1=value1[,param2=value2]

DBDPersist On|Off

DBDPrepareSQL "SQL statement" label

DBDriver name