預處理語句及繫結引數

預處理語句用於執行多個相同的 SQL 語句，並且執行效率更高。

預處理語句的工作原理如下：

1. 預處理：建立 SQL 語句模板併發送到資料庫。預留的值使用引數 "?" 標記 。例如：INSERT INTO MyGuests (firstname, lastname, email) VALUES(?, ?, ?)
2. 資料庫解析，編譯，對SQL語句模板執行查詢優化，並存儲結果不輸出
3. 執行：最後，將應用繫結的值傳遞給引數（"?" 標記），資料庫執行語句。應用可以多次執行語句，如果引數的值不一樣。

相比於直接執行SQL語句，預處理語句有兩個主要優點：

• 預處理語句大大減少了分析時間，只做了一次查詢（雖然語句多次執行）
• 繫結引數減少了伺服器頻寬，你只需要傳送查詢的引數，而不是整個語句
• 預處理語句針對SQL注入是非常有用的，因為 引數值傳送後使用不同的協議，保證了資料的合法性。

MySQLi 預處理語句

以下例項在 MySQLi 中使用了預處理語句，並綁定了相應的引數:

例項 (MySQLi 使用預處理語句)

<?php
$servername = "localhost";
$username = "username";
$password = "password";
$dbname = "myDB";

// 建立連線
$conn = new mysqli($servername, $username, $password, $dbname);

// 檢測連線
if ($conn->connect_error) {
    die("Connection failed: " . $conn->connect_error);
}

// prepare and bind
$stmt = $conn->prepare("INSERT INTO MyGuests (firstname, lastname, email) VALUES(?, ?, ?)");
$stmt->bind_param("sss", $firstname, $lastname, $email);

// 設定引數並執行
$firstname = "John";
$lastname = "Doe";
$email = "

[email protected]";
$stmt->execute();

$firstname = "Mary";
$lastname = "Moe";
$email = "[email protected]";
$stmt->execute();

$firstname = "Julie";
$lastname = "Dooley";
$email = "[email protected]";
$stmt->execute();

echo "New records created successfully";

$stmt->close();
$conn->close();
?>

解析以下例項的每行程式碼:

"INSERT INTO MyGuests (firstname, lastname, email) VALUES(?, ?, ?)"

在 SQL 語句中，我們使用了問號 (?)，在此我們可以將問號替換為整型，字串，雙精度浮點型和布林值。

接下來，讓我們來看下 bind_param() 函式：

$stmt->bind_param("sss", $firstname, $lastname, $email);

該函式綁定了 SQL 的引數，且告訴資料庫引數的值。 "sss" 引數列處理其餘引數的資料型別。s 字元告訴資料庫該引數為字串。

引數有以下四種類型:

• i - integer（整型）
• d - double（雙精度浮點型）
• s - string（字串）
• b - BLOB（binary large object:二進位制大物件）

每個引數都需要指定型別。

通過告訴資料庫引數的資料型別，可以降低 SQL 注入的風險。

	注意： 如果你想插入其他資料（使用者輸入），對資料的驗證是非常重要的。

PDO 中的預處理語句

以下例項我們在 PDO 中使用了預處理語句並繫結引數:

例項 (PDO 使用預處理語句)

<?php
$servername = "localhost";
$username = "username";
$password = "password";
$dbname = "myDBPDO";

try {
    $conn = new PDO("mysql:host=$servername;dbname=$dbname", $username, $password);
    // 設定 PDO 錯誤模式為異常
    $conn->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);

    // 預處理 SQL 並繫結引數
    $stmt = $conn->prepare("INSERT INTO MyGuests (firstname, lastname, email) 
    VALUES (:firstname, :lastname, :email)");
    $stmt->bindParam(':firstname', $firstname);
    $stmt->bindParam(':lastname', $lastname);
    $stmt->bindParam(':email', $email);

    // 插入行
    $firstname = "John";
    $lastname = "Doe";
    $email = "[email protected]";
    $stmt->execute();

    // 插入其他行
    $firstname = "Mary";
    $lastname = "Moe";
    $email = "[email protected]";
    $stmt->execute();

    // 插入其他行
    $firstname = "Julie";
    $lastname = "Dooley";
    $email = "[email protected]";
    $stmt->execute();

    echo "New records created successfully";
    }
catch(PDOException $e)
    {
    echo $sql . "<br>" . $e->getMessage();
    }
$conn = null;
?>