php 使用預處理語句操作資料庫
目錄
什麼是預處理語句?
預處理語句,可以把它看作是想要執行的 SQL 語句的一種編譯過的模板,它可以使用變數引數進行控制。預處理語句可以帶來兩大好處:
- 查詢僅需解析(或預處理)一次,但可以用相同或不同的引數執行多次。當查詢準備好後,資料庫將分析、編譯和優化執行該查詢的計劃。對於複雜的查詢,此過程要花費較長的時間,如果需要以不同引數多次重複相同的查詢,那麼該過程將大大降低應用程式的速度。通過使用預處理語句,可以避免重複分析/編譯/優化週期。簡言之,預處理語句佔用更少的資源,因而執行得更快。
- 提供給預處理語句的引數不需要用引號括起來,驅動程式會自動處理。如果應用程式只使用預處理語句,可以確保不會發生SQL 注入。(然而,如果查詢的其他部分是由未轉義的輸入來構建的,則仍存在 SQL 注入的風險)。
上述內容是摘自官方文件的說明,但其實預處理語句帶給我們最直觀的好處就是能夠有效地預防 SQL 注入。關於 SQL 注入的內容我們將來在學習 mysql 的時候再進行深入的學習,這裡就不過多地介紹了,反正預處理語句就是可以完成這項工作就好了。
PDO 操作預處理語句
在 php 的擴充套件中,PDO 已經是主流的核心資料庫擴充套件庫,自然它對預處理語句的支援也是非常全面的。
$pdo = new PDO('mysql:host=localhost;port=3306;dbname=blog_test','root',''); $pdo->setAttribute(PDO::ATTR_ERRMODE,PDO::ERRMODE_EXCEPTION); // :xxx 佔位符 $stmt = $pdo->prepare("insert into zyblog_test_user (username,password,salt) values (:username,:password,:salt)"); $stmt->bindParam(':username',$username); $stmt->bindParam(':password',$password); $stmt->bindParam(':salt',$salt); $username = 'one'; $password = '123123'; $salt = 'aaa'; $stmt->execute(); $username = 'two'; $password = '123123'; $salt = 'bbb'; $stmt->execute();
在程式碼中,我們使用 prepare() 方法定義預處理語句,這個方法會返回一個 PDOStatement 物件。在預處理的語句內使用 :xxx 這樣的佔位符號,並在外部使用 PDOStatement 物件的 bindParam() 方法為程式設計客棧這些佔位符繫結上變數。最後通過 execute() 來真正地執行 SQL 語句。
從這段程式碼中,我們就可以看到預處理語句的兩大優勢的體現。首先是佔位符,使用佔位符之後,我們就不用在 SQL 語句中去寫單引號,單引號往往就是 SQL 注入的主要漏洞來源。bindParam() 方法會自動地轉換繫結資料的型別。當然,bindParam() 方法也可以在可選的引數中指定繫結的資料型別,這樣就能讓我們的程式碼更加安qdebU
另一個優勢就是模板的能力,我們只定義了一個 PDOStatement 物件,然後通過改變資料的內容,就可以多次地使用 execute() 方法去執行預處理語句。
佔位符還有另一種寫法,就是使用一個問號來作為佔位符號,在這種情況下,bindParam() 方法的鍵名就要使用數字下標了。這裡需要注意的是,數字下標是從 1 開始的。
// 程式設計客棧3; 佔位符
$stmt = $pdo->prepare("insert into zyblog_test_user (username,salt) values (?,?,?)");
$stmt->bindParam(1,$username);
$stmt->bindParam(2,$password);
$stmt->bindParam(3,$salt);
$username = 'three';
$password = '123123';
$saltwww.cppcns.com = 'ccc';
$stmt->execute();
在我們的查詢中,也是可以方便地使用預處理語句的功能進行資料查詢的。在這裡,我們直接使用 execute() 來為佔位符傳遞引數。
// 查詢獲取資料
$stmt = $pdo->prepare("select * from zyblog_test_user 程式設計客棧where username = :username");
$stmt->execute(['username'=>'one']);
while($row = $stmt->fetch()){
print_r($row);
}
mysqli 操作預處理語句
雖說主流是 PDO ,而且大部分框架中使用的也是 PDO ,但我們在寫指令碼,或者需要快速地測試一些功能的時候,還是會使用 mysqli 來快速地開發。當然,mysqli 也是支援預處理語句相關功能的。
// mysqli 預處理 $conn = new mysqli('127.0.0.1','','blog_test'); $username = 'one'; $stmt = $conn->prepare("select username from zyblog_test_user where username = ?"); $stmt->bind_param("s",$username); $stmt->execute(); echo $stmt->bind_result($unames); var_dump($unames); while ($stmt->fetch()) { printf("%s\n",$unames); }
可以看出,mysqli 除了方法名不同之外,繫結引數的鍵名也不完全的相同,這裡我們使用的是問號佔位,在 bind_param() 方法中,是使用 s 來表示符號位置,如果是多個引數,就要寫成 sss... 這樣。
總結
預處理語句的能力在現在的框架中都已經幫我們封裝好了,其實我們並不需要太關心,就像 Laravel 中使用 DB::select() 進行資料庫操作時,我們就可以看到預處理語句的應用。
大家可以自行查閱 vendor/laravel/framework/src/Illuminate/Database/Connection.php 中的 select() 方法。
測試程式碼
以上就是php 使用預處理語句操作資料庫的詳細內容,更多關於php 預處理語句操作資料庫的資料請關注我們其它相關文章!