PHP の PDO 拡張機能を使用したデータベースへの接続: 準備されたステートメントの安全性と実行効率についての深い理解-PHPチュートリアル-php.cn

PHP の PDO 拡張機能を使用したデータベースへの接続: 準備されたステートメントの安全性と実行効率についての深い理解

WBOY

リリース： 2023-05-11 17:10:02

オリジナル

1156 人が閲覧しました

Web 開発では、データベースへの接続は重要なステップです。 PHP の開発により、PDO 拡張機能は複数のデータベースと互換性があり、より優れたエラー処理とセキュリティを提供するため、データベースに接続するための推奨される方法になりました。

この記事では、開発者が PDO をより適切に使用してデータベースに接続できるように、PDO プリペアドステートメントのセキュリティと実行効率について詳しく説明します。

PDO プリペアドステートメントの概要

PDO を使用してデータベースに接続する場合、通常のステートメントとプリペアドステートメントという 2 つの SQL ステートメントがよく使用されます。通常のステートメントは変数を SQL ステートメントに直接埋め込んで実行します。例:

$name = 'John';
$stmt = $pdo->query("SELECT * FROM users WHERE name = '$name'");

ログイン後にコピー

$name 変数の値がハッカーによって悪意のあるコードに変更され、データベースが攻撃される可能性があるため、このメソッドには SQL インジェクションのリスクがあります。このリスクを回避するには、PDO 準備済みステートメントを使用します。

前処理ステートメントは、SQL ステートメントと変数を個別に処理する方法です。まず、SQL ステートメントとプレースホルダーを準備します。例:

$stmt = $pdo->prepare("SELECT * FROM users WHERE name = ?");

ログイン後にコピー

ここで、? はプレースホルダーです。これは、クエリ時に変数を渡すことを意味します。次に、プレースホルダーに渡したい変数をバインドします。例:

$name = 'John';
$stmt->bindValue(1, $name);

ログイン後にコピー

最初のパラメーターはプレースホルダーの位置で、2 番目のパラメーターは渡したい変数です。最後に、プリペアドステートメントを実行します。

$stmt->execute();

ログイン後にコピー

このようにして、プリペアドステートメントはクエリ用の SQL ステートメントに変数を安全に渡します。

PDO プリペアドステートメントの安全性

PDO プリペアドステートメントを使用すると、SQL インジェクションのリスクを効果的に回避できます。これは、渡される変数が SQL ステートメントに直接埋め込まれるのではなく、渡される変数を介して行われるためです。プレースホルダーにバインドすることによって。ハッカーはプレースホルダーの場所や数を変更したり、任意の SQL コードを挿入したりすることができないため、データベースを攻撃することはできません。

さらに、PDO プリペアドステートメントを使用すると、予期しないエラーを防ぐこともできます。たとえば、準備されたステートメントで不正なパラメータタイプを渡すと、PDO は間違ったクエリステートメントを実行するのではなく、実行中に例外をスローします。こうすることで、エラーのデバッグとトラブルシューティングをより簡単に行うことができます。

つまり、PDO プリペアドステートメントを使用すると、アプリケーションのセキュリティを効果的に向上させ、予期しないエラーを回避できます。

PDO プリペアドステートメントの実行効率

PDO プリペアドステートメントはセキュリティを向上させることができますが、実行効率は必ずしも高いとは限りません。準備されたステートメントは、SQL ステートメントのコンパイルやパラメーターのプレースホルダーへのバインドなど、実行前に準備する必要があるためです。これらの追加の手順により、パフォーマンスがいくらか低下します。

ただし、準備されたステートメントを使用する場合、同じクエリを複数回実行すると、各実行の準備ステップを再利用できます。このようにして、SQL ステートメントのコンパイルとパラメータのバインドを繰り返し行うオーバーヘッドを回避できるため、実行効率が向上します。

PDO 前処理ステートメントの実行効率をテストするために、ローカルにテスト環境を構築し、PHP の microtime 関数を使用して実行時間を測定しました。テスト結果は次のとおりです (単位は秒):

##1000051.04264014.114032#はい実行回数が少ない場合は、プリペアドステートメントよりも通常のステートメント（直接実行）の実行効率が若干高いことがわかります。しかし、実行回数が増えると、プリペアドステートメントの実行効率が通常のステートメントの実行効率を徐々に上回り、その差はどんどん広がっていきます。実行回数が 10,000 回の場合、プリペアドステートメントの実行効率は通常のステートメントの約 3 倍になります。