PHP MySQL 預先處理語句學習筆記

預先處理語句及綁定參數

 

預先處理語句用於執行多個相同的 SQL 陳述式，並且執行效率更高。

 

預先處理語句的工作原理如下：

 

預先處理：建立 SQL 陳述式模板並發送到資料庫。預留的值使用參數 "?" 標記 。例如：INSERT INTO MyGuests (firstname, lastname, email) VALUES(?, ?, ?)

資料庫解析，編譯，對SQL語句模板執行查詢最佳化，並儲存結果不輸出
執行：最後，將應用綁定的值傳遞給參數（"?" 標記），資料庫執行語句。應用可以多次執行語句，如果參數的值不一樣。

相比於直接執行SQL語句，預先處理語句有兩個主要優點：

預先處理語句大大減少了分析時間，只做了一次查詢（雖然語句多次執行）
綁定參數減少了伺服器頻寬，你只需要發送查詢的參數，而不是整個語句
預先處理語句針對SQL注入是非常有用的，因為 參數值發送後使用不同的協議，保證了資料的合法性。
MySQLi 預先處理語句

以下執行個體在 MySQLi 中使用了預先處理語句，並綁定了相應的參數:

執行個體 (MySQLi 使用預先處理語句)

<?php$servername = "localhost";$username = "username";$password = "password";$dbname = "myDB";// 建立串連$conn = new mysqli($servername, $username, $password, $dbname);// 檢測串連if ($conn->connect_error) {    die("Connection failed: " . $conn->connect_error);}// prepare and bind$stmt = $conn->prepare("INSERT INTO MyGuests (firstname, lastname, email) VALUES(?, ?, ?)");$stmt->bind_param("sss", $firstname, $lastname, $email);// 設定參數並執行$firstname = "John";$lastname = "Doe";$email = "john@example.com";$stmt->execute();$firstname = "Mary";$lastname = "Moe";$email = "mary@example.com";$stmt->execute();$firstname = "Julie";$lastname = "Dooley";$email = "julie@example.com";$stmt->execute();echo "New records created successfully";$stmt->close();$conn->close();?>

解析以下執行個體的每行代碼:

"INSERT INTO MyGuests (firstname, lastname, email) VALUES(?, ?, ?)"

在 SQL 陳述式中，我們使用了問號 (?)，在此我們可以將問號替換為整型，字串，雙精確度浮點型和布爾值。
接下來，讓我們來看下 bind_param() 函數：
$stmt->bind_param("sss", $firstname, $lastname, $email);
該函數綁定了 SQL 的參數，且告訴資料庫參數的值。 "sss" 參數列處理其餘參數的資料類型。s 字元告訴資料庫該參數為字串。

參數有以下四種類型:

 

i - integer（整型）
d - double（雙精確度浮點型）
s - string（字串）
b - BLOB（布爾值）
每個參數都需要指定類型。
通過告訴資料庫參數的資料類型，可以降低 SQL 注入的風險。
Note 注意： 如果你想插入其他資料（使用者輸入），對資料的驗證是非常重要的。
PDO 中的預先處理語句

以下執行個體我們在 PDO 中使用了預先處理語句並綁定參數:

執行個體 (PDO 使用預先處理語句)

<?php$servername = "localhost";$username = "username";$password = "password";$dbname = "myDBPDO";try {    $conn = new PDO("mysql:host=$servername;dbname=$dbname", $username, $password);    // 設定 PDO 錯誤模式為異常    $conn->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);    // 預先處理 SQL 並綁定參數    $stmt = $conn->prepare("INSERT INTO MyGuests (firstname, lastname, email)     VALUES (:firstname, :lastname, :email)");    $stmt->bindParam(':firstname', $firstname);    $stmt->bindParam(':lastname', $lastname);    $stmt->bindParam(':email', $email);    // 插入行    $firstname = "John";    $lastname = "Doe";    $email = "john@example.com";    $stmt->execute();    // 插入其他行    $firstname = "Mary";    $lastname = "Moe";    $email = "mary@example.com";    $stmt->execute();    // 插入其他行    $firstname = "Julie";    $lastname = "Dooley";    $email = "julie@example.com";    $stmt->execute();    echo "New records created successfully";    }catch(PDOException $e)    {    echo $sql . "<br>" . $e->getMessage();    }$conn = null;?>