Wie ersetzt man veraltete „mysql_*'-Funktionen durch PDO und vorbereitete Anweisungen für sichere Datenbankinteraktionen?

Ersetzen von mysql_*-Funktionen durch PDO und vorbereitete Anweisungen

Frage:

Wie kann ich veraltete mysql_*-Funktionen durch ersetzen? PDO und vorbereitete Anweisungen zum sicheren Speichern und Abrufen von Daten aus einer Datenbank?

Antwort:

1. Stellen Sie eine PDO-Verbindung her:

$hostname = '*host*';
$username = '*user*';
$password = '*pass*';
$database = '*database*';

$dbh = new PDO("mysql:host=$hostname;dbname=$database", $username, $password);

2. Vorbereitete Anweisungen zum Einfügen von Daten verwenden:

$username = $_POST['username'];
$email = $_POST['email'];

$stmt = $dbh->prepare("INSERT INTO `users` (username, email)
                        VALUES (?, ?)");

$stmt->bindParam(1, $username, PDO::PARAM_STR);
$stmt->bindParam(2, $email, PDO::PARAM_STR);

$stmt->execute();

3. Längenparameter für BindParam:

Der Längenparameter ist für PDO::PARAM_STR nicht erforderlich. Wenn Sie jedoch eine maximale Zeichenbeschränkung für das Feld in Ihrer Datenbanktabelle haben, können Sie diese wie unten gezeigt nach PDO::PARAM_STR angeben:

$stmt->bindParam(1, $username, PDO::PARAM_STR, 255);

4. Vorbereitete Anweisungen zum Abrufen von Daten :

$user_id = $_GET['id'];

$stmt = $dbh->prepare("SELECT * FROM `users` WHERE `id` = ?");

$stmt->bindParam(1, $user_id, PDO::PARAM_INT);

5. BindParam für verschiedene Datentypen verwenden:

• PDO::PARAM_STR für Zeichenfolgen
• PDO::PARAM_INT für Ganzzahlen
• PDO::PARAM_BOOL für Boolesche Werte

6. 安全性:

• Vorbereitete Anweisungen machen das manuelle Escapen von Zeichenfolgen mit Funktionen wie mysql_real_escape_string überflüssig.
• PDO verarbeitet die Abfrageausführung sicher und verhindert so SQL-Injection-Schwachstellen.
• Es ist jedoch wichtig zu beachten dass vorbereitete Aussagen allein keine Sicherheit garantieren. Eine Eingabevalidierung und geeignete Desinfektionsmaßnahmen sollten weiterhin umgesetzt werden.

Das obige ist der detaillierte Inhalt vonWie ersetzt man veraltete „mysql_*'-Funktionen durch PDO und vorbereitete Anweisungen für sichere Datenbankinteraktionen?. Für weitere Informationen folgen Sie bitte anderen verwandten Artikeln auf der PHP chinesischen Website!