이 글에서는 PHP의 전처리 클래스와 바인딩된 데이터를 소개합니다. 도움이 필요한 친구들이 모두 참고할 수 있기를 바랍니다.
PDO의 가장 강력한 기능은 다양한 데이터베이스에 대한 통합 인터페이스를 제공하는 것 외에도 더 중요하다는 것입니다. PDOStatement에서 제공하는 기능인 전처리 기능입니다. 존재하기 때문에 SQL문의 잘못된 스플라이싱으로 인한 보안 위험에 대한 걱정 없이 안심하고 사용할 수 있습니다. 물론 전처리는 우리에게 문장의 실행 효율성을 향상시켜주기도 하는데, 이는 PDO의 또 다른 큰 킬러라고 할 수 있습니다.
PDOStatement 클래스는 실제로 준비된 문을 나타내며 문이 실행된 후 관련 결과 집합을 나타냅니다. 이는 준비된 명령문에 대해 작업을 수행할 수 있는 몇 가지 방법을 제공합니다.
$dns = 'mysql:host=localhost;dbname=blog_test;port=3306;charset=utf8';
$pdo = new PDO($dns, 'root', '', [PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION]);
$stmt = $pdo->prepare("select * from zyblog_test_user");
// PDOStatement 对象的内容
var_dump($stmt);
// object(PDOStatement)#2 (1) {
// ["queryString"]=>
// string(57) "select * from zyblog_test_user where username = :username"
// }PDOStatement 개체는 PDO 개체의 prepare() 메서드에서 반환되는 개체입니다. 생성자가 없습니다. 즉, PDOStatement 개체를 직접 인스턴스화할 수 없습니다. 여기에는 실행하려는 SQL 문인 읽기 전용 속성이 queryString에 저장되어 있습니다.
다음으로 PDOStatement의 두 가지 오류 메시지 방법을 살펴보겠습니다.
// 没有指定异常处理状态下的错误信息函数
$pdo_no_exception = new PDO($dns, 'root', '');
$errStmt = $pdo_no_exception->prepare("select * from errtable");
$errStmt->execute();
var_dump($errStmt->errorCode()); // string(5) "42S02"
var_dump($errStmt->errorInfo());
// array(3) {
// [0]=>
// string(5) "42S02"
// [1]=>
// int(1146)
// [2]=>
// string(40) "Table 'blog_test.errtable' doesn't exist"
// }이전 기사에서는 PDO 객체에 오류 처리 형식이 지정되지 않은 경우에 대해 배웠습니다. 오류 코드와 오류 메시지를 반환하여 오류를 처리합니다. 이 경우 준비된 구문에 문제가 있는 경우 errorCode() 및 errorInfo() 메서드를 통해 오류 코드 및 오류 세부 정보를 얻을 수 있습니다. 하지만 위에서 정의한 PDO 객체처럼 PDO의 오류 처리 방법을 지정하여 예외를 발생시키는 것이 더 좋습니다. 이러한 방식으로 try...catch를 통해 오류 예외를 처리할 수 있습니다.
// 为语句设置默认的获取模式。
$stmt->setFetchMode(PDO::FETCH_ASSOC);
$stmt->execute();
while($row = $stmt->fetch(PDO::FETCH_ASSOC)){
var_dump($row);
}
// array(4) {
// ["id"]=>
// string(1) "1"
// ["username"]=>
// string(3) "aaa"
// ["password"]=>
// string(3) "aaa"
// ["salt"]=>
// string(3) "aaa"
// }
// ……쿼리 구조에 대한 FETCH_MODE 지정은 setFetchMode() 메서드를 통해 수행됩니다. 또한 PDO 객체의 속성을 통해 기본 쿼리 결과 세트 모드를 지정할 수 있다고 앞서 언급했습니다. 그러나 PDOStatement에서는 이 메서드를 사용하여 준비된 문의 현재 쿼리에 대해 FETCH_MODE를 지정할 수도 있습니다.
// 返回结果集列数、返回结果集中一列的元数据
$stmt = $pdo->prepare("select * from zyblog_test_user");
$stmt->execute();
var_dump($stmt->columnCount()); // int(4)
var_dump($stmt->getColumnMeta(0));
// array(7) {
// ["native_type"]=>
// string(4) "LONG"
// ["pdo_type"]=>
// int(2)
// ["flags"]=>
// array(2) {
// [0]=>
// string(8) "not_null"
// [1]=>
// string(11) "primary_key"
// }
// ["table"]=>
// string(16) "zyblog_test_user"
// ["name"]=>
// string(2) "id"
// ["len"]=>
// int(11)
// ["precision"]=>
// int(0)
// }columnCount()는 현재 쿼리 결과 집합의 열 수를 반환할 수 있습니다. 다음 글에서는 행 수를 구하는 방법을 소개하겠습니다.
getColumnMeta() 메서드는 결과 집합에 있는 열의 메타데이터를 가져오는 것입니다. 해당 매개 변수는 1부터 시작하는 열의 일련 번호입니다. 여기서는 id 열인 첫 번째 열의 정보를 가져옵니다. 인쇄된 결과에서 열 이름, 정밀도, 길이, 유형, 테이블 이름, 속성(기본 키, null이 아님) 및 기타 정보를 볼 수 있습니다. 아주 유용할 것 같지 않나요? 그러나 이 방법은 실험적이며 향후 PHP 버전에서 수정될 수 있습니다. 정식으로 고정된 방법은 아닙니다. 그리고 모든 데이터베이스 연결 드라이버가 이 방법을 지원하는 것은 아닙니다.
$stmt = $pdo->prepare("select * from zyblog_test_user where username=? and salt = ?");
$username = 'aaa';
$stmt->bindParam(1, $username, PDO::PARAM_STR);
$stmt->bindValue(2, 'aaa', PDO::PARAM_STR);
$stmt->execute();
var_dump($stmt->debugDumpParams());
// SQL: [60] select * from zyblog_test_user where username=? and salt = ?
// Sent SQL: [68] select * from zyblog_test_user where username='aaa' and salt = 'aaa'
// Params: 2
// Key: Position #0:
// paramno=0
// name=[0] ""
// is_param=1
// param_type=2
// Key: Position #1:
// paramno=1
// name=[0] ""
// is_param=1
// param_type=2debugDumpParams()는 현재 실행된 SQL 문의 정보를 직접 인쇄하는 var_dump() 및 php_info( ) 함수와 마찬가지로 결과를 변수에 반환하는 대신 직접 인쇄합니다. 그러한 함수의 내용을 어떻게 변수에 저장했는지 기억하시나요? [아직도 PHP의 출력 버퍼링 제어에 대해 혼란스러워하시나요? ]().
인쇄된 결과로 판단하면 실제 실행된 SQL 문과 관련된 일부 매개변수 정보를 반환할 수 있습니다. 확실히 일상적인 개발과 디버깅을 위한 아티팩트입니다. 많은 친구들이 실제 실행문을 받으면 PDO 전처리문에 갇힐 것입니다. 이 방법을 사용하려면 간단히 캡슐화하기만 하면 됩니다. 그런 다음 실제 실행 문을 추출할 수 있습니다!
// MySQL 驱动不支持 setAttribute $stmt->setAttribute(PDO::ATTR_CURSOR, PDO::CURSOR_FWDONLY); // Fatal error: Uncaught PDOException: SQLSTATE[IM001]: Driver does not support this function: This driver doesn't support setting attributes // MySQL 驱动不支持 getAttribute var_dump($stmt->getAttribute(PDO::ATTR_AUTOCOMMIT)); // Fatal error: Uncaught PDOException: SQLSTATE[IM001]: Driver does not support this function: This driver doesn't support getting attributes
이 두 가지 방법은 MySQL 확장 드라이버에서 지원되지 않지만 다른 데이터베이스에서는 지원하지 않습니다. 작성자가 다른 데이터베이스를 테스트하지 않았으므로 직접 테스트해 볼 수 있습니다.
다음 단계는 전처리 문에서 자리 표시자를 사용하여 변수를 바인딩하여 쿼리 문을 안전하게 처리할 수 있다는 점입니다. 자리 표시자를 사용하면 필드 내용을 작은따옴표로 직접 조합하고 처리할 필요가 없으므로 SQL 삽입 발생을 피할 수 있습니다. 문자 세트의 와이드 바이트 주입 문제와 같은 모든 SQL 주입 문제가 여기에서 처리될 수 있는 것은 아닙니다.
자리 표시자에는 두 가지 형식이 있습니다. 하나는 :xxx 형식의 이름 자리 표시자를 사용하는 것입니다. : 뒤에 오는 내용은 직접 정의할 수 있습니다. 또 다른 형태는 물음표 자리 표시자를 사용하는 것입니다. 물음표 자리 표시자를 사용할 때 필드의 아래 첨자를 바인딩하고 아래 첨자는 1부터 시작합니다. 이는 주의할 사항입니다. 예시를 통해 직접 살펴보겠습니다.
$stmt = $pdo->prepare("insert into zyblog_test_user(username, password, salt) values(:username, :pass, :salt)");
$username = 'ccc';
$passwrod = '333';
$salt = 'c3';
$stmt->bindParam(':username', $username);
$stmt->bindParam(':pass', $password);
$stmt->bindParam(':salt', $salt);
$stmt->execute();
// bindParam 问号占位符
$stmt = $pdo->prepare("insert into zyblog_test_user(username, password, salt) values(?, ?, ?)");
$username = 'ccc';
$passwrod = '333';
$salt = 'c3';
$stmt->bindParam(1, $username);
$stmt->bindParam(2, $password);
$stmt->bindParam(3, $salt);
$stmt->execute();在这段代码中，我们分别使用了两种形式的占位符来实现了数据的插入。当然，预处理语句和占位符是任何操作语句都可以使用的。它的作用就是用绑定的值来替换语句中的占位符所在位置的内容。不过它只是使用在 values 、 set 、 where 、 order by 、 group by 、 having 这些条件及对字段的操作中，有兴趣的同学可以试试用占位符来表示一个表名会是什么结果。
bindParam() 方法是绑定一个参数到指定的变量名。在这个方法中，绑定的变量是作为引用被绑定，并且只能是一个变量，不能直接给一个常量。这点我们在后面讲和 bindValue() 的区别时再详细讲解。一些驱动支持调用存储过程的输入/输出操作，也可以使用这个方法来绑定，我们将在后面的文章中讲解。
$stmt = $pdo->prepare("insert into zyblog_test_user(username, password, salt) values(:username, :pass, :salt)");
$username = 'ddd';
$passwrod = '444';
$salt = 'd4';
$stmt->bindValue(':username', $username);
$stmt->bindValue(':pass', $password);
$stmt->bindValue(':salt', $salt);
$stmt->execute();咦？它的用法和 bindParam() 一样呀？没错，它们的作用也是一样的，绑定一个参数到值。注意，这里是绑定到值，而 bindParam() 是绑定到变量。在正常情况下，你可以将它们看作是一样的操作，但是，其实它们有很大的不同，我们直接就来看它们的区别。
首先，bindValue() 是可以绑定常量的。
$stmt = $pdo->prepare("select * from zyblog_test_user where username = :username");
//$stmt->bindParam(':username', 'ccc');
// Fatal error: Uncaught Error: Cannot pass parameter 2 by reference
$stmt->bindValue(':username', 'ccc');
$stmt->execute();
while($row = $stmt->fetch(PDO::FETCH_ASSOC)){
var_dump($row);
}
// array(4) {
// ["id"]=>
// string(2) "19"
// ["username"]=>
// string(3) "ccc"
// ["password"]=>
// string(3) "bbb"
// ["salt"]=>
// string(2) "c3"
// }
// ……如果我们使用 bindParam() 来指定第二个参数值为常量的话，它会直接报错。bindParam() 的第二个参数是作为引用类型的变量，不能指定为一个常量。
其次，因为bindParam() 是以引用方式绑定，它的变量内容是可变的，所以在任何位置定义绑定的变量都不影响它的预处理，而 bindValue() 是定义后就立即将参数进行绑定的，所以下面的代码使用 bindValue() 是无法获得结果的（$username 在 bindValue() 之后才赋值）。
$stmt = $pdo->prepare("select * from zyblog_test_user where username = :username");
$stmt->bindValue(':username', $username);
$username = 'ccc';
$stmt->execute();
while($row = $stmt->fetch(PDO::FETCH_ASSOC)){
var_dump($row);
}
//必须要保证变量在 bindValue() 之前被赋值。
$username = 'ccc'; $stmt->bindValue(':username', $username);
当然，bindParam() 就不存在这样的问题了，我们可以在 bindParam() 之后再给它指定的变量赋值。
$stmt = $pdo->prepare("select * from zyblog_test_user where username = :username");
$stmt->bindParam(':username', $username);
$username = 'ddd';
$stmt->execute();
while($row = $stmt->fetch(PDO::FETCH_ASSOC)){
var_dump($row);
}
// array(4) {
// ["id"]=>
// string(1) "8"
// ["username"]=>
// string(3) "ddd"
// ["password"]=>
// string(3) "bbb"
// ["salt"]=>
// string(2) "d4"
// }
// ……这下对 bindParam() 和 bindValue() 的区别就非常清楚了吧？总结一下：
bindParam() 必须绑定变量，变量是引用形式的参数，只要在 execute() 之前完成绑定都可以
bindValue() 可以绑定常量，如果是绑定的变量，那么变量赋值要在 bindValue() 语句执行之前完成，否则绑定的就是一个空的数据
这个方法是用于绑定查询结果集的内容的。我们可以将查询结果集中指定的列绑定到一个特定的变量中，这样就可以在 fetch() 或 fetchAll() 遍历结果集时通过变量来得到列的值。
这个方法在实际应用中用到的比较少，所以很多小伙伴可能是只闻其名不见其身。我们还是通过代码来看看。
$stmt = $pdo->prepare("select * from zyblog_test_user");
$stmt->execute();
$stmt->bindColumn(1, $id);
$stmt->bindColumn(2, $username, PDO::PARAM_STR);
$stmt->bindColumn("password", $password);
$stmt->bindColumn("salt", $salt, PDO::PARAM_INT); // 指定类型强转成了 INT 类型
// 不存在的字段
// $stmt->bindColumn(5, $t);
//Fatal error: Uncaught PDOException: SQLSTATE[HY000]: General error: Invalid column index
while($row = $stmt->fetch(PDO::FETCH_BOUND)){
$data = [
'id'=>$id,
'username'=>$username,
'password'=>$password,
'salt'=>$salt,
];
var_dump($data);
}
// array(4) {
// ["id"]=>
// string(1) "1"
// ["username"]=>
// string(3) "aaa"
// ["password"]=>
// string(3) "aaa"
// ["salt"]=>
// int(0)
// }
// array(4) {
// ["id"]=>
// string(1) "2"
// ["username"]=>
// string(3) "bbb"
// ["password"]=>
// string(3) "bbb"
// ["salt"]=>
// int(123)
// }
// ……
// 外部获取变量就是最后一条数据的信息
$data = [
'id'=>$id,
'username'=>$username,
'password'=>$password,
'salt'=>$salt,
];
print_r($data);
// Array
// (
// [id] => 2
// [username] => bbb
// [password] => bbb
// [salt] => bbb
// )在代码中，我们使用的是 * 来获得的查询结果集。然后就可以通过问号占位符或者列名来将列绑定到变量中。接着在 fetch() 的遍历过程中，就可以通过变量直接获取每一条数据的相关列的值。需要注意的是，为变量赋值的作用域仅限于在执行 fetch() 方法之后。从代码的结构中我们就可以看出，bindColumn() 方法对于变量也是作为引用的方式绑定到 PDOStatement 对象内部的，所以 fetch() 在处理的时候就直接为这些变量赋上了值。
bindCloumn() 方法后面的参数是可选的字段类型，这个参数在 bindParam() 和 bindValue() 中都是存在的，也都是可选的。如果获取的类型和我们绑定时定义的类型不同，那么 PDOStatement 就会强转为绑定时指定的类型。例如上面例子中我们将本身为 varchar 类型的 salt 字段强转为 int 类型之后就输出的都是 int 类型了。除了这个参数之外，还有一些其它可选的参数，大家可以自行查阅相关的文档。
fetch() 循环结束后，变量中依然保留着最后一行结果集的内容。所以在使用的时候要注意如果外部有其它地方使用这些变量的话，是否需要重新赋值或者清理掉它们。
最后，如果我们不想这么麻烦地去绑定字段或者变量，也可以直接在 execute() 方法中直接传递参数，它是类似于 bindValue() 的形式进行字段绑定的。
$stmt = $pdo->prepare("insert into zyblog_test_user(username, password, salt) values(:username, :pass, :salt)");
$stmt->execute([
':username'=>'jjj',
':pass'=>'888',
':salt'=>'j8'
]);
// 使用问号占位符的话是按从0开始的下标
$stmt = $pdo->prepare("insert into zyblog_test_user(username, password, salt) values(?, ?, ?)");
$stmt->execute(['jjjj','8888','j8']);execute() 的这个绑定参数是一个数组，在使用问号占位符的时候需要注意，在这里，按数组的下标来说，它们是从 0 开始算位置的。
另外需要注意的是，PDOStatement 对象的操作都是使用 execute() 方法来进行语句执行的。这个方法只会返回一个布尔值，也就是成功或者失败。不像 PDO 对象的 exec() 方法返回的是受影响的条数。如果是查询类的语句，我们需要在 execute() 之后调用 fetch() 之类的方法遍历结果集。而增、删、改之类的操作，则需要通过 rowCount() 来获得返回的执行结果条数。相关的内容我们也将在之后的文章一起详细讲解。
划重点的时刻又到咯！今天我们学习的主要是 PDOStatement 对象的一些不太常用但很好玩的方法，另外就是占位符绑定的问题。其中最主要的就是 bindParam() 和 bindValue() 的区别。下篇文章我们主要就是要学习 PDOStatement 中的查询相关的操作，这个可不能丢呀，大家一定不要迟到！
测试代码：
https://github.com/zhangyue0503/dev-blog/blob/master/php/202009/source/PHP%E4%B8%AD%E7%9A%84PDO%E6%93%8D%E4%BD%9C%E5%AD%A6%E4%B9%A0%EF%BC%88%E4%B8%89%EF%BC%89%E9%A2%84%E5%A4%84%E7%90%86%E7%B1%BB%E5%8F%8A%E7%BB%91%E5%AE%9A%E6%95%B0%E6%8D%AE.php
推荐学习：php视频教程
위 내용은 3분 안에 PHP에서 클래스 전처리 및 데이터 바인딩에 대해 알아봅니다.의 상세 내용입니다. 자세한 내용은 PHP 중국어 웹사이트의 기타 관련 기사를 참조하세요!
![[웹 프런트엔드] Node.js 빠른 시작](https://img.php.cn/upload/course/000/000/067/662b5d34ba7c0227.png)
