PHP MySQL 預處理語句
預處理語句對于防止 MySQL 注入是非常有用的。
預處理語句及綁定參數
預處理語句用于執行多個相同的 SQL 語句，并且執行效率更高。
預處理語句的工作原理如下：
預處理：創建 SQL 語句模板并發送到數據庫。預留的值使用參數 "?" 標記 。例如：INSERT INTO MyGuests (firstname, lastname, email) VALUES(?, ?, ?)
數據庫解析，編譯，對SQL語句模板執行查詢優化，并存儲結果不輸出
執行：最后，將應用綁定的值傳遞給參數（"?" 標記），數據庫執行語句。應用可以多次執行語句，如果參數的值不一樣。
相比于直接執行SQL語句，預處理語句有兩個主要優點：
預處理語句大大減少了分析時間，只做了一次查詢（雖然語句多次執行）
綁定參數減少了服務器帶寬，你只需要發送查詢的參數，而不是整個語句
預處理語句針對SQL注入是非常有用的，因為 參數值發送后使用不同的協議，保證了數據的合法性。
MySQLi 預處理語句
以下實例在 MySQLi 中使用了預處理語句，并綁定了相應的參數:
實例 (MySQLi 使用預處理語句)
<?php
$servername = "localhost";
$username = "username";
$password = "password";
$dbname = "myDB";
// 創建連接
$conn = new mysqli($servername, $username, $password, $dbname);
// 檢測連接
if ($conn->connect_error) {
die("Connection failed: " . $conn->connect_error);
}
// prepare and bind
$stmt = $conn->prepare("INSERT INTO MyGuests (firstname, lastname, email) VALUES(?, ?, ?)");
$stmt->bind_param("sss", $firstname, $lastname, $email);
// 設置參數并執行
$firstname = "John";
$lastname = "Doe";
$email = "john@example.com";
$stmt->execute();
$firstname = "Mary";
$lastname = "Moe";
$email = "mary@example.com";
$stmt->execute();
$firstname = "Julie";
$lastname = "Dooley";
$email = "julie@example.com";
$stmt->execute();
echo "New records created successfully";
$stmt->close();
$conn->close();
?>
解析以下實例的每行代碼:
"INSERT INTO MyGuests (firstname, lastname, email) VALUES(?, ?, ?)"
在 SQL 語句中，我們使用了問號 (?)，在此我們可以將問號替換為整型，字符串，雙精度浮點型和布爾值。
接下來，讓我們來看下 bind_param() 函數：
$stmt->bind_param("sss", $firstname, $lastname, $email);
該函數綁定了 SQL 的參數，且告訴數據庫參數的值。 "sss" 參數列處理其余參數的數據類型。s 字符告訴數據庫該參數為字符串。
參數有以下四種類型:
i - integer（整型）
d - double（雙精度浮點型）
s - string（字符串）
b - BLOB（布爾值）
每個參數都需要指定類型。
通過告訴數據庫參數的數據類型，可以降低 SQL 注入的風險。
 | 注意： 如果你想插入其他數據（用戶輸入），對數據的驗證是非常重要的。 |
|---|
PDO 中的預處理語句
以下實例我們在 PDO 中使用了預處理語句并綁定參數:
實例 (PDO 使用預處理語句)
<?php
$servername = "localhost";
$username = "username";
$password = "password";
$dbname = "myDBPDO";
try {
$conn = new PDO("mysql:host=$servername;dbname=$dbname", $username, $password);
// 設置 PDO 錯誤模式為異常
$conn->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);
// 預處理 SQL 并綁定參數
$stmt = $conn->prepare("INSERT INTO MyGuests (firstname, lastname, email)
VALUES (:firstname, :lastname, :email)");
$stmt->bindParam(':firstname', $firstname);
$stmt->bindParam(':lastname', $lastname);
$stmt->bindParam(':email', $email);
// 插入行
$firstname = "John";
$lastname = "Doe";
$email = "john@example.com";
$stmt->execute();
// 插入其他行
$firstname = "Mary";
$lastname = "Moe";
$email = "mary@example.com";
$stmt->execute();
// 插入其他行
$firstname = "Julie";
$lastname = "Dooley";
$email = "julie@example.com";
$stmt->execute();
echo "New records created successfully";
}
catch(PDOException $e)
{
echo $sql . "<br>" . $e->getMessage();
}
$conn = null;
?>
