この記事では、PHP でデータベースを操作するための前処理ステートメントについて詳しく説明します (コード付き)。一定の参考値があるので、困っている友達が参考になれば幸いです。

#PHP でデータベースを操作するためのステートメントの前処理

#準備されたステートメントは、実行する SQL ステートメントのコンパイルされたテンプレートと考えることができ、変数パラメーターを使用して制御できます。プリペアド ステートメントには、次の 2 つの大きな利点があります。

• 準備されたステートメントに指定されたパラメーターは引用符で囲む必要はありません。ドライバーが自動的に処理します。アプリケーションでプリペアド ステートメントのみを使用する場合、SQL インジェクションは確実に発生しません。 (ただし、クエリの他の部分がエスケープされていない入力から構築されている場合は、依然として SQL インジェクションのリスクが存在します)。

• 上記の内容は公式ドキュメントからの抜粋ですが、実際、プリペアド ステートメントがもたらす最も直感的な利点は、SQL インジェクションを効果的に防止できることです。 SQLインジェクションの内容については、今後MySQLを学習する際に詳しく勉強するので、ここではあまり紹介しませんが、とにかくプリペアドステートメントだけでこの作業は完了します。

PDO はプリペアド ステートメントを操作します

PHP 拡張機能の中でも、PDO はすでに主流のコア データベース拡張ライブラリであり、当然プリペアド ステートメントに対する非常に包括的なサポートも備えています。

$pdo = new PDO('mysql:host=localhost;port=3306;dbname=blog_test', 'root', '');
$pdo->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);

// :xxx 占位符
$stmt = $pdo->prepare("insert into zyblog_test_user (username, password, salt) values (:username, :password, :salt)");
$stmt->bindParam(':username', $username);
$stmt->bindParam(':password', $password);
$stmt->bindParam(':salt', $salt);

$username = 'one';
$password = '123123';
$salt = 'aaa';
$stmt->execute();

$username = 'two';
$password = '123123';
$salt = 'bbb';
$stmt->execute();

ログイン後にコピー

// ? 占位符
$stmt = $pdo->prepare("insert into zyblog_test_user (username, password, salt) values (?, ?, ?)");
$stmt->bindParam(1, $username);
$stmt->bindParam(2, $password);
$stmt->bindParam(3, $salt);

$username = 'three';
$password = '123123';
$salt = 'ccc';
$stmt->execute();

// 查询获取数据
$stmt = $pdo->prepare("select * from zyblog_test_user where username = :username");

$stmt->execute(['username'=>'one']);

while($row = $stmt->fetch()){
    print_r($row);
}

mysqli 操作のプリペアド ステートメント

主流は PDO であり、ほとんどのフレームワークも PDO を使用しますが、スクリプトを作成したり、迅速にテストする必要がある場合は、一部の機能では、迅速な開発のために今でも mysqli を使用しています。もちろん、mysqli はプリペアド ステートメント関連の関数もサポートしています。

// mysqli 预处理
$conn = new mysqli('127.0.0.1', 'root', '', 'blog_test');
$username = 'one';
$stmt = $conn->prepare("select username from zyblog_test_user where username = ?");
$stmt->bind_param("s", $username);

$stmt->execute();

echo $stmt->bind_result($unames);

var_dump($unames);

while ($stmt->fetch()) {
    printf("%s\n", $unames);
}

ログイン後にコピー

概要

準備されたステートメントの機能は、現在のフレームワークにカプセル化されています。実際、あまり気にする必要はありません。 Laravel で DB::select() がデータベース操作を実行するとき、準備されたステートメントの適用がわかります。 vendor/laravel/framework/src/Illuminate/Database/Connection.php の select() メソッドを自分で確認できます。

テスト コード:

https://github.com/zhangyue0503/dev-blog/blob/master/php/202008/source/PHP%E4%B8%AD%E6%93%8D%E4%BD%9C%E6%95%B0%E6%8D%AE%E5%BA%93%E7%9A%84%E9%A2%84%E5%A4%84%E7%90%86%E8%AF%AD%E5%8F%A5.php

php ビデオ チュートリアル

以上がPHP でデータベースを操作するための前処理ステートメントの詳細な紹介 (コード付き)の詳細内容です。詳細については、PHP 中国語 Web サイトの他の関連記事を参照してください。