PHP MySQL 預處理語句
預處理語句對於防止MySQL 注入是非常有用的。
預處理語句及綁定參數
預處理語句用於執行多個相同的SQL 語句，並且執行效率更高。
預處理語句的工作原理如下：
預處理：創建SQL 語句模板並發送到數據庫。 預留的值使用參數"?" 標記。 例如：
INSERT INTO MyGuests (firstname, lastname, email) VALUES(?, ?, ?)
數據庫解析，編譯，對SQL語句模板執行查詢優化，並存儲結果不輸出。
執行：最後，將應用綁定的值傳遞給參數（"?" 標記），數據庫執行語句。 應用可以多次執行語句，如果參數的值不一樣。
相比於直接執行SQL語句，預處理語句有兩個主要優點：
預處理語句大大減少了分析時間，只做了一次查詢（雖然語句多次執行）。
綁定參數減少了服務器帶寬，你只需要發送查詢的參數，而不是整個語句。
預處理語句針對SQL注入是非常有用的，因為參數值發送後使用不同的協議，保證了數據的合法性。
MySQLi 預處理語句
以下實例在MySQLi 中使用了預處理語句，並綁定了相應的參數:
實例(MySQLi 使用預處理語句)
<?php
$servername = "localhost";
$username = "username";
$password = "password";
$dbname = "myDB";
// 創建連接
$conn = new mysqli($servername, $username, $password, $dbname);
// 檢測連接
if ($conn->connect_error) {
die("連接失敗: " . $conn->connect_error);
}
// 預處理及綁定
$stmt = $conn->prepare("INSERT INTO MyGuests (firstname, lastname, email) VALUES(?, ?, ?)");
$stmt->bind_param("sss", $firstname, $lastname, $email);
// 設置參數並執行
$firstname = "John";
$lastname = "Doe";
$email = "[email protected]";
$stmt->execute();
$firstname = "Mary";
$lastname = "Moe";
$email = "[email protected]";
$stmt->execute();
$firstname = "Julie";
$lastname = "Dooley";
$email = "[email protected]";
$stmt->execute();
echo "新記錄插入成功";
$stmt->close();
$conn->close();
?>
$servername = "localhost";
$username = "username";
$password = "password";
$dbname = "myDB";
// 創建連接
$conn = new mysqli($servername, $username, $password, $dbname);
// 檢測連接
if ($conn->connect_error) {
die("連接失敗: " . $conn->connect_error);
}
// 預處理及綁定
$stmt = $conn->prepare("INSERT INTO MyGuests (firstname, lastname, email) VALUES(?, ?, ?)");
$stmt->bind_param("sss", $firstname, $lastname, $email);
// 設置參數並執行
$firstname = "John";
$lastname = "Doe";
$email = "[email protected]";
$stmt->execute();
$firstname = "Mary";
$lastname = "Moe";
$email = "[email protected]";
$stmt->execute();
$firstname = "Julie";
$lastname = "Dooley";
$email = "[email protected]";
$stmt->execute();
echo "新記錄插入成功";
$stmt->close();
$conn->close();
?>
解析以下實例的每行代碼:
"INSERT INTO MyGuests (firstname, lastname, email) VALUES(?, ?, ?)"
在SQL 語句中，我們使用了問號(?)，在此我們可以將問號替換為整型，字符串，雙精度浮點型和布爾值。
接下來，讓我們來看下bind_param() 函數：
$stmt->bind_param("sss", $firstname, $lastname, $email);
該函數綁定了SQL 的參數，且告訴數據庫參數的值。 "sss" 參數列處理其餘參數的數據類型。 s 字符告訴數據庫該參數為字符串。
參數有以下四種類型:
- i - integer（整型）
- d - double（雙精度浮點型）
- s - string（字符串）
- b - BLOB（binary large object:二進制大對象）
每個參數都需要指定類型。
通過告訴數據庫參數的數據類型，可以降低SQL 注入的風險。
 | 注意：如果你想插入其他數據（用戶輸入），對數據的驗證是非常重要的。 |
|---|
PDO 中的預處理語句
以下實例我們在PDO 中使用了預處理語句並綁定參數:
實例(PDO 使用預處理語句)
<?php
$servername = "localhost";
$username = "username";
$password = "password";
$dbname = "myDBPDO";
try {
$conn = new PDO("mysql:host=$servername;dbname=$dbname", $username, $password);
// 設置PDO 錯誤模式為異常
$conn->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);
// 預處理SQL 並綁定參數
$stmt = $conn->prepare("INSERT INTO MyGuests (firstname, lastname, email)
VALUES (:firstname, :lastname, :email)");
$stmt->bindParam(':firstname', $firstname);
$stmt->bindParam(':lastname', $lastname);
$stmt->bindParam(':email', $email);
// 插入行
$firstname = "John";
$lastname = "Doe";
$email = "[email protected]";
$stmt->execute();
// 插入其他行
$firstname = "Mary";
$lastname = "Moe";
$email = "[email protected]";
$stmt->execute();
// 插入其他行
$firstname = "Julie";
$lastname = "Dooley";
$email = "[email protected]";
$stmt->execute();
echo "新記錄插入成功";
}
catch(PDOException $e)
{
echo $sql . "<br>" . $e->getMessage();
}
$conn = null;
?>
$servername = "localhost";
$username = "username";
$password = "password";
$dbname = "myDBPDO";
try {
$conn = new PDO("mysql:host=$servername;dbname=$dbname", $username, $password);
// 設置PDO 錯誤模式為異常
$conn->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);
// 預處理SQL 並綁定參數
$stmt = $conn->prepare("INSERT INTO MyGuests (firstname, lastname, email)
VALUES (:firstname, :lastname, :email)");
$stmt->bindParam(':firstname', $firstname);
$stmt->bindParam(':lastname', $lastname);
$stmt->bindParam(':email', $email);
// 插入行
$firstname = "John";
$lastname = "Doe";
$email = "[email protected]";
$stmt->execute();
// 插入其他行
$firstname = "Mary";
$lastname = "Moe";
$email = "[email protected]";
$stmt->execute();
// 插入其他行
$firstname = "Julie";
$lastname = "Dooley";
$email = "[email protected]";
$stmt->execute();
echo "新記錄插入成功";
}
catch(PDOException $e)
{
echo $sql . "<br>" . $e->getMessage();
}
$conn = null;
?>