PHP MySQL 預(yù)處理語句

2021-11-18 09:26 更新

MySQL 從4.1版本開始提供了一種名為預(yù)處理語句（prepared statement）的機(jī)制。

MySQL 預(yù)處理語句不僅大大減少了需要傳輸?shù)臄?shù)據(jù)量，還提高了命令的處理效率。

預(yù)處理語句對(duì)于防止 MySQL 注入是非常有用的。

預(yù)處理語句及綁定參數(shù)

預(yù)處理語句用于執(zhí)行多個(gè)相同的 SQL 語句，并且執(zhí)行效率更高。

預(yù)處理語句的工作原理如下：

  1. 預(yù)處理：創(chuàng)建 SQL 語句模板并發(fā)送到數(shù)據(jù)庫(kù)。預(yù)留的值使用參數(shù) "?" 標(biāo)記 。例如：INSERT INTO MyGuests (firstname, lastname, email) VALUES(?, ?, ?)

  2. 數(shù)據(jù)庫(kù)解析，編譯，對(duì)SQL語句模板執(zhí)行查詢優(yōu)化，并存儲(chǔ)結(jié)果不輸出

  3. 執(zhí)行：最后，將應(yīng)用綁定的值傳遞給參數(shù)（"?" 標(biāo)記），數(shù)據(jù)庫(kù)執(zhí)行語句。應(yīng)用可以多次執(zhí)行語句，如果參數(shù)的值不一樣。

相比于直接執(zhí)行SQL語句，預(yù)處理語句有兩個(gè)主要優(yōu)點(diǎn)：

  • 預(yù)處理語句大大減少了分析時(shí)間，只做了一次查詢（雖然語句多次執(zhí)行）

  • 綁定參數(shù)減少了服務(wù)器帶寬，你只需要發(fā)送查詢的參數(shù)，而不是整個(gè)語句

  • 預(yù)處理語句針對(duì)SQL注入是非常有用的，因?yàn)?參數(shù)值發(fā)送后使用不同的協(xié)議，保證了數(shù)據(jù)的合法性。

MySQLi 預(yù)處理語句

以下實(shí)例在 MySQLi 中使用了預(yù)處理語句，并綁定了相應(yīng)的參數(shù):

實(shí)例 (MySQLi 使用預(yù)處理語句)

<?php
$servername = "localhost";
$username = "username";
$password = "password";
$dbname = "myDB";

// 創(chuàng)建連接
$conn = new mysqli($servername, $username, $password, $dbname);

// 檢測(cè)連接
if ($conn->connect_error) {
    die("Connection failed: " . $conn->connect_error);
}

// prepare and bind
$stmt = $conn->prepare("INSERT INTO MyGuests (firstname, lastname, email) VALUES(?, ?, ?)");
$stmt->bind_param("sss", $firstname, $lastname, $email);

// 設(shè)置參數(shù)并執(zhí)行
$firstname = "John";
$lastname = "Doe";
$email = "john@example.com";
$stmt->execute();

$firstname = "Mary";
$lastname = "Moe";
$email = "mary@example.com";
$stmt->execute();

$firstname = "Julie";
$lastname = "Dooley";
$email = "julie@example.com";
$stmt->execute();

echo "New records created successfully";

$stmt->close();
$conn->close();
?>

解析以下實(shí)例的每行代碼:

"INSERT INTO MyGuests (firstname, lastname, email) VALUES(?, ?, ?)"

在 SQL 語句中，我們使用了問號(hào) (?)，在此我們可以將問號(hào)替換為整型，字符串，雙精度浮點(diǎn)型和布爾值。

接下來，讓我們來看下 bind_param() 函數(shù)：

$stmt->bind_param("sss", $firstname, $lastname, $email);

該函數(shù)綁定了 SQL 的參數(shù)，且告訴數(shù)據(jù)庫(kù)參數(shù)的值。 "sss" 參數(shù)列處理其余參數(shù)的數(shù)據(jù)類型。s 字符告訴數(shù)據(jù)庫(kù)該參數(shù)為字符串。

參數(shù)有以下四種類型:

  • i - integer（整型）

  • d - double（雙精度浮點(diǎn)型）

  • s - string（字符串）

  • b - BLOB（布爾值）

每個(gè)參數(shù)都需要指定類型。

通過告訴數(shù)據(jù)庫(kù)參數(shù)的數(shù)據(jù)類型，可以降低 SQL 注入的風(fēng)險(xiǎn)。

Note注意： 如果你想插入其他數(shù)據(jù)（用戶輸入），對(duì)數(shù)據(jù)的驗(yàn)證是非常重要的。


PDO 中的預(yù)處理語句

以下實(shí)例我們?cè)?PDO 中使用了預(yù)處理語句并綁定參數(shù):

實(shí)例 (PDO 使用預(yù)處理語句)

<?php
$servername = "localhost";
$username = "username";
$password = "password";
$dbname = "myDBPDO";

try {
    $conn = new PDO("mysql:host=$servername;dbname=$dbname", $username, $password);
    // 設(shè)置 PDO 錯(cuò)誤模式為異常
    $conn->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);

    // 預(yù)處理 SQL 并綁定參數(shù)
    $stmt = $conn->prepare("INSERT INTO MyGuests (firstname, lastname, email)
    VALUES (:firstname, :lastname, :email)");
    $stmt->bindParam(':firstname', $firstname);
    $stmt->bindParam(':lastname', $lastname);
    $stmt->bindParam(':email', $email);

    // 插入行
    $firstname = "John";
    $lastname = "Doe";
    $email = "john@example.com";
    $stmt->execute();

    // 插入其他行
    $firstname = "Mary";
    $lastname = "Moe";
    $email = "mary@example.com";
    $stmt->execute();

    // 插入其他行
    $firstname = "Julie";
    $lastname = "Dooley";
    $email = "julie@example.com";
    $stmt->execute();

    echo "New records created successfully";
    }
catch(PDOException $e)
    {
    echo $sql . "<br>" . $e->getMessage();
    }
$conn = null;
?>


以上內(nèi)容是否對(duì)您有幫助：
在線筆記
App下載
App下載

掃描二維碼

下載編程獅App

公眾號(hào)
微信公眾號(hào)

編程獅公眾號(hào)