標籤：
PHP MySQL 預先處理語句
預先處理語句對於防止 MySQL 注入是非常有用的。
預先處理語句及綁定參數
預先處理語句用於執行多個相同的 SQL 陳述式，並且執行效率更高。
預先處理語句的工作原理如下：
- 預先處理：建立 SQL 陳述式模板並發送到資料庫。預留的值使用參數 "?" 標記 。例如：INSERT INTO MyGuests (firstname, lastname, email) VALUES(?, ?, ?)
- 資料庫解析，編譯，對SQL語句模板執行查詢最佳化，並儲存結果不輸出
- 執行：最後，將應用綁定的值傳遞給參數（"?" 標記），資料庫執行語句。應用可以多次執行語句，如果參數的值不一樣。
相比於直接執行SQL語句，預先處理語句有兩個主要優點：
- 預先處理語句大大減少了分析時間，只做了一次查詢（雖然語句多次執行）
- 綁定參數減少了伺服器頻寬，你只需要發送查詢的參數，而不是整個語句
- 預先處理語句針對SQL注入是非常有用的，因為 參數值發送後使用不同的協議，保證了資料的合法性。
MySQLi 預先處理語句
以下執行個體在 MySQLi 中使用了預先處理語句，並綁定了相應的參數:
執行個體 (MySQLi 使用預先處理語句)<?php
$servername = "localhost";
$username = "username";
$password = "password";
$dbname = "myDB";
// 建立串連
$conn = new mysqli($servername, $username, $password, $dbname);
// 檢測串連
if ($conn->connect_error) {
die("Connection failed: " . $conn->connect_error);
}
// prepare and bind
$stmt = $conn->prepare("INSERT INTO MyGuests (firstname, lastname, email) VALUES(?, ?, ?)");
$stmt->bind_param("sss", $firstname, $lastname, $email);
// 設定參數並執行
$firstname = "John";
$lastname = "Doe";
$email = "[email protected]";
$stmt->execute();
$firstname = "Mary";
$lastname = "Moe";
$email = "[email protected]";
$stmt->execute();
$firstname = "Julie";
$lastname = "Dooley";
$email = "[email protected]";
$stmt->execute();
echo "New records created successfully";
$stmt->close();
$conn->close();
?>
解析以下執行個體的每行代碼:
"INSERT INTO MyGuests (firstname, lastname, email) VALUES(?, ?, ?)"
在 SQL 陳述式中，我們使用了問號 (?)，在此我們可以將問號替換為整型，字串，雙精確度浮點型和布爾值。
接下來，讓我們來看下 bind_param() 函數：
$stmt->bind_param("sss", $firstname, $lastname, $email);
該函數綁定了 SQL 的參數，且告訴資料庫參數的值。 "sss" 參數列處理其餘參數的資料類型。s 字元告訴資料庫該參數為字串。
參數有以下四種類型:
- i - integer（整型）
- d - double（雙精確度浮點型）
- s - string（字串）
- b - BLOB（布爾值）
每個參數都需要指定類型。
通過告訴資料庫參數的資料類型，可以降低 SQL 注入的風險。
|
注意： 如果你想插入其他資料（使用者輸入），對資料的驗證是非常重要的。 |
PDO 中的預先處理語句
以下執行個體我們在 PDO 中使用了預先處理語句並綁定參數:
執行個體 (PDO 使用預先處理語句)<?php
$servername = "localhost";
$username = "username";
$password = "password";
$dbname = "myDBPDO";
try {
$conn = new PDO("mysql:host=$servername;dbname=$dbname", $username, $password);
// 設定 PDO 錯誤模式為異常
$conn->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);
// 預先處理 SQL 並綁定參數
$stmt = $conn->prepare("INSERT INTO MyGuests (firstname, lastname, email)
VALUES (:firstname, :lastname, :email)");
$stmt->bindParam(‘:firstname‘, $firstname);
$stmt->bindParam(‘:lastname‘, $lastname);
$stmt->bindParam(‘:email‘, $email);
// 插入行
$firstname = "John";
$lastname = "Doe";
$email = "[email protected]";
$stmt->execute();
// 插入其他行
$firstname = "Mary";
$lastname = "Moe";
$email = "[email protected]";
$stmt->execute();
// 插入其他行
$firstname = "Julie";
$lastname = "Dooley";
$email = "[email protected]";
$stmt->execute();
echo "New records created successfully";
}
catch(PDOException $e)
{
echo $sql . "<br>" . $e->getMessage();
}
$conn = null;
?>
PHP MySQL 預先處理語句
