(PHP) 通信が落ちるとPDOがパスワードを出力します。なぜでしょう？

Question

簡素なウェブサイトがあり、PDOを使用して、Mysqlサーバにつなげています。

$dbh = new PDO('mysql:host=localhost;dbname=DB', 'USER', 
'SECRET',array(PDO::MYSQL_ATTR_INIT_COMMAND => "SET NAMES utf8"));

サーバのトラフィック監視をしていますが、サーバの通信制限に達すると、ウェブサイトが私のパスワード入りでエラーを出してしまいます・・・

むしろ、セキュリティのためにPDOに変えたのに、これはびっくりしました。
簡単に攻撃されてしまいますよね？？

今、接続部分をtry/catch文にラップしていますが、これは本当に困りました。

PDOは初心者なので質問があります。
安全に行うためには何をすべきでしょうか？
通信を確立する安全な方法はなんですか？
このようなセキュリティホールで知っておくべきものはありますか？

Answer 1

この問題を避けるには、PHP.ini で、display_errors = offにしましょう。

このように情報を暴露してしまうエラーは、PDOに限らず、さまざまな原因があります。

try/catchブロックに入れるのはいい方法ですね。

また、以下の方法も良いですよ。

$pdo->setAttribute(PDO::ERRMODE_SILENT)

しかしこれを使う場合、try/catchブロックを使用するよりも、エラーコードをマニュアルでチェックしたほうがよいと思います。

こちらのマニュアルを参考にどうぞ。

http://php.net/manual/ja/pdo.setattribute.php