249

Uma dúvida muito comum é por que devemos parar de usar funções do tipo mysql_* ? Por exemplo mysql_query(), ou mysql_connect().

Vejo que muitas pessoas as usam, ou param de usar mas não sabem o real motivo. Por que elas deveriam parar de ser usadas uma vez que funcionam?

1
  • 15
    Essa funçao já se tornou obsoleta, sendo mais indicado o uso do mysqli_*
    – henrique
    Commented 22/12/2013 às 14:49

6 Respostas 6

254

Resumo

A resposta é uma só: não devemos usar funções da extensão "mysql" pelo seu desenvolvimento ter sido descontinuado; a extensão se tornou obsoleta, ou seja, código que utilize essas funções não irá funcionar em futuras versões do PHP.


Detalhes

Um usuário do site Stack Overflow em inglês escreveu:

There is no security problem with library itself but rather with library users (não há problemas de segurança com a biblioteca em si, mas sim com os usuários da biblioteca).

A votação para descontinuar (deprecate) ou não, resultou em 25 votos a favor e 12 votos contra. Foi uma boa maioria, mas não foi uma decisão unânime. Veja a fonte oficial.

Nessa mesma fonte, outro desenvolvedor escreveu:

The extension is not broken. The problem is the bad usage. It can be used safely, and good developers have been doing so for ages (A extensão não tem defeitos. O problema é a má utilização. Ela pode ser usada com segurança, e bons desenvolvedores têm feito isso há anos).

A citação abaixo, também desse mesmo documento oficial, aponta para as verdadeiras razões para descontinuar a extensão:

ext/mysql is hard to maintain code. It is not getting new features. Keeping it up to date for working with new versions of libmysql or mysqlnd versions is work, we probably could spend that time better.

(A extensão mysql contém código de difícil manutenção. Não está recebendo novas "features". Mantê-la atualizada para funcionar com novas versões de libmysqld e mysqlnd é trabalhoso; nós poderíamos estar usando melhor esse tempo.)

Em outras palavras: "Para que ter um trabalhão para manter esse código velho?" - pois na medida em que novas versões do MySQL (e suas "client libs") são lançadas, a extensão precisa ser atualizada...

...e, além disso, já existem as extensões mysqli (mais moderna) e a alternativa PDO... então... para que continuar mantendo? Vamos descontinuar? Aí, 25 votaram "sim", 12 votaram "não", e a decisão foi tomada.


Comentário Pessoal

Quando eu comecei com PHP não existia a extensão PDO. Eu usava a extensão "mysql", como a maioria, até que trabalhei num projeto usando "mysqli" e tomei conhecimento das vantagens, e sempre preferi a mesma desde então.

Logo depois, escrevi um par de classes que extendem as originais da extensão mysqli, e as utilizo até hoje em PHP puro, ou seja, quando não estou usando um framework como o Laravel, com seu "Fluent" e seu "Eloquent", o Symfony com "Doctrine", etc...

Para mim, acostumado até aos detalhezinhos de preparar cláusulas "LIKE" à prova de ataque, a "caixa preta" desses "prepared statements", "Active Record" ou "ORM" era vista com desconfiança. Essa fase passou, e hoje sou fã do Eloquent que vem com o Laravel 4...


Adendo

Após publicar toda a resposta acima, senti necessidade de frisar a importância do fator "not getting new features" na decisão por descontinuar a extensão. Quer dizer: apesar dela ser a mais rápida (melhor performance) na execução das tarefas simples, a ela faltam todo o leque de funcionalidades que as extensões alternativas (mysqli e PDO) contêm (transactions, suporte a SSL, etc) - ponto que foi destacado em outras respostas aqui.

7
  • 19
    Além de ser a melhor resposta, ainda traduz deprecated direito, +1
    – bfavaretto
    Commented 20/02/2014 às 4:41
  • 2
    De en.wikipedia.org/wiki/Deprecation: "In mainstream English, the infinitive 'to deprecate' means, simply, 'to strongly disapprove of (something)'. Thus, for a standard document to state that a feature is deprecated is merely a recommendation against using it".
    – rodrigorgs
    Commented 16/08/2014 às 10:17
  • 1
    A partir do PHP 5.6 a utilização das funções mysql_* retornam erro de função depreciada. Então não há mais como utilizá-la a partir de então.
    – carlaodev
    Commented 20/10/2014 às 18:39
  • 1
    @touchmx correção: é possível usá-las sim no 5.6 simplesmente desligando o deprecated errors.
    – gmsantos
    Commented 29/01/2015 às 10:25
  • 5
    Só pra ressaltar mesmo: o PHP 7 não tem mais o driver mysql_. Foi removido, pura e simplesmente. +1 Adorei a resposta! Commented 2/12/2015 às 22:29
121

Porque o uso das funções mysql_* foi desaprovado (deprecated) a partir do PHP 5.5 e, segundo a documentação, as funções serão removidas em versões futuras do PHP, fazendo com que os programas que as utilizam parem de funcionar nessas versões.

Limitações das funções mysql_*

Ao contrário das funções mysqli_*, as funções mysql_* não dão suporte a

  • consultas assíncronas, não-bloqueantes
  • consultas parametrizadas
  • stored procedures
  • transações

A falta de suporte a consultas parametrizadas significa que, ao usar funções mysql_* sem tomar certas precauções, seu programa está vulnerável a ataques de injeção de SQL, comprometendo a segurança e integridade dos dados. Exemplo:

// consulta vulnerável a injeção de SQL
$query = mysql_query("SELECT * FROM alunos WHERE id = $id")

// consulta parametrizada, variável $id é higienizada
$query = mysqli_query("SELECT * FROM alunos WHERE id = ?")
$query->bind_param("i", $id);

Alternativas

Como alternativa, recomenda-se usar funções mysqli_*, que superam as limitações já mencionadas das funções mysql_*.

Outra opção é usar PDO (PHP Data Objects) que fornece uma camada de abstração de acesso a dados, o que significa que, independentemente de qual banco de dados você está usando, você pode usar as mesmas funções para emitir consultas e buscar dados.

História

Para saber a história por trás da desaprovação das funções mysql_*, veja a resposta de J.Bruni.

4
  • 6
    +1 pela menção do PDO como alternativa.
    – Kazzkiq
    Commented 31/01/2014 às 17:23
  • 18
    -1 Apesar de ter sido a resposta aceita, a primeira afirmação está errada: "ao usar funções mysql_*, seu programa está sujeito a ataques de injeção de SQL". Isto simplesmente não é verdade. É a má utilização dessas funções que pode criar vulnerabilidades, e não as funções em si. O 2º parágrafo também está incorreto: "deprecated" não significa "desaprovado" e a principal razão não foi a segurança, mas o trabalho em manter o código atualizado (desnecessário, por haver duas opções substitutas mais modernas: mysqli e PDO). E não é "possível" que serão removidas - é certo que serão.
    – J. Bruni
    Commented 12/05/2014 às 19:36
  • 2
    Aconselho a ver esta resposta do @J.Bruni.
    – Jorge B.
    Commented 16/06/2014 às 15:12
  • 3
    Realmente, a falta de segurança é mais pelas mãos do desenvolvedor mal informado que coloca variáveis diretamente na query, sem nem sequer se preocupar com a entrada e saída de dados. O que também pode ser mal feito no mysqli. Commented 31/08/2015 às 18:47
61

Não devemos mais usar mysql_* pelo seguinte motivo:

INSERT INTO usuarios SET nome='$nome';

O valor é passado diretamente na clausula sql, isso deixa a aplicação vulnerável a ataques de sql injection. Com pdo:

$con->prepare("INSERT INTO usuarios SET nome=?");
$con->bindParam(1, $nome);
$con->execute();

Ao utilizar pdo a consulta é preparada, passando por uma camada de proteção, camada essa que o mysql_* não possui, no momento de substituir os valores, essa camada de proteção entra em ação verificando se o comando está parecido com sql injection.

3
  • 6
    O erro também pode ser persistido pelo usuário no mysqli ou PDO. Commented 31/08/2015 às 18:49
  • 1
    A diferença é que a primeira versão não oferece essa vantagem, porém, o desenvolvedor pode criar uma tratativa dentro de um método para receber somente dados confiáveis. Commented 31/08/2015 às 18:51
  • 3
    Com o mysqli pode usar $mysqli->query('INSERT INTO usuarios SET nome=\'$nome\''); e continuar vulnerável igual.
    – Inkeliz
    Commented 10/01/2016 às 8:47
53

Por um motivo simples já é o suficiente para muitos:

Essa extensão do Mysql foi descontinuada pela equipe de desenvolvimento do PHP. Mas dai você me pergunta, porque ela foi descontinuada uma vez que era simples e funcionava bacana? Te digo: Conforme o PHP está cada vez mais orientado a objeto e essa extensão do Mysql foi criada para o PHP estruturado, ela começou apresentar falhas no ambiente orientado a objetos. Não suporta Stored procedure. Não suporta transactions. Só funciona com o Mysql até o 5.0. ... Entre outros. Veja um comparativo aqui

Então um código com métodos mysql vai ter um deficit no futuro para suportar novas implementações e para corrigir futuros bugs. Utilizem o PHP PDO.

1
47

Vemos que temos muitas respostas sobre isso, mas resumindo, qualquer coisa que a versão mais recente no PHP (ou de qualquer linguagem) entre no estado de obsoleto, devemos alterar, tentar adequar o código e se possível usar recursos mais recentes que possam se tornar padrão no futuro e o PDO é um exemplo. Infelizmente tem programadores que acabam ignorando isso e só vão aprender e fazer as correções quando é feito alguma migração para um servidor ou alguma coisa do tipo que comece a acusar o erro. Enfim, mudança necessária, cedo ou tarde precisaria ser feito e felizmente daqui um tempo usar PDO ou MySQLI vai ser como fazer um mysql_*

41

Galera, apenas para fins didáticos, estou postando uma tabela contendo algumas informações importantes sobre o mysql, mysqli e PDO.

inserir a descrição da imagem aqui

4
  • 1
    Fiz uma pequena tradução na tabela, pode ser vista aqui, se tiver alguma coisa errada me avise. Alias, +1 por complementar todas as outras respostas Commented 24/05/2016 às 13:10
  • 2
    Espero ter ajudado com essa tabela pois ela mostra de forma bem objetiva e resumidamente as vantagens e desvantagens dos mesmos.
    – Tiago
    Commented 24/05/2016 às 13:31
  • 1
    Viu a tradução? Poderia colocar na sua resposta de forma alternativa como, Tabela traduzida em PT-BR e o link da imagem externa. Acredito que seria ainda mais útil Commented 24/05/2016 às 13:46
  • 1
    @VictorGomes O link do seu primeiro comentário está quebrado. Existe um link atualizado? Caso não exista, melhor excluir o comentário.
    – bfavaretto
    Commented 17/03/2017 às 20:41

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .