Замена функций mysql * на PDO и подготовленные операторы

Я никогда не беспокоюсь о типах или длинах bindParam () или param.

Я просто передаю массив значений параметров для выполнения (), например:

$stmt = $dbh->prepare("SELECT * FROM `users` WHERE `id` = :user_id");
$stmt->execute( array(':user_id' => $user_id) );

$stmt = $dbh->prepare("INSERT INTO `users` (username, email)
                        VALUES (:username, :email)");
$stmt->execute( array(':username'=>$username, ':email'=>$email) );

Это так же эффективно и проще в коде.

вы также можете быть заинтересованы в моей презентации SQL инъекции мифы и заблуждения, или моей книги SQL Antipatterns: избегая подводных камней программирования баз данных.

Да,: что-то называется заполнителем в PDO,? является анонимным заполнителем. Они позволяют связывать значения по одному или все сразу.

Итак, в основном это делает четыре варианта для предоставления вашему запросу значений.

С bindValue()

это связывает конкретное значение на свой прототип, как только вы его называете. Вы даже можете связать жестко закодированные строки, такие как bindValue(':something', 'foo') Если желанный.

указание типа параметра необязательна (но желательна). Однако, поскольку значение по умолчанию PDO::PARAM_STR, вам нужно только указать его, когда это не строка. Кроме того,PDO позаботится о длине здесь - нет параметра длины.

$sql = '
  SELECT *
  FROM `users`
  WHERE
    `name` LIKE :name
    AND `type` = :type
    AND `active` = :active
';
$stm = $db->prepare($sql);

$stm->bindValue(':name', $_GET['name']); // PDO::PARAM_STR is the default and can be omitted.
$stm->bindValue(':type', 'admin'); // This is not possible with bindParam().
$stm->bindValue(':active', 1, PDO::PARAM_INT);

$stm->execute();
...

обычно я предпочитаю такой подход. Я нахожу его самым чистым и гибким.

С bindParam()

переменной обязан ваш заполнитель, который будет считываться при запросе выполнена, не при вызове bindParam (). Это может быть или не быть тем, чего вы хотите. Это удобно, когда вы хотите повторно выполнить свой запрос с разными значениями.

$sql = 'SELECT * FROM `users` WHERE `id` = :id';
$stm = $db->prepare($sql);
$id = 0;
$stm->bindParam(':id', $id, PDO::PARAM_INT);

$userids = array(2, 7, 8, 9, 10);
foreach ($userids as $userid) {
  $id = $userid;
  $stm->execute();
  ...
}

вы только подготовить и связать один раз, какие сейфы CPU циклов. :)

все сразу с именем заполнители

вы просто бросаете массив в execute(). Каждый ключ имеет имя заполнитель в запросе (см. Билл Karwins ответа). Порядок выбора не важен.

на стороне Примечание: при таком подходе вы не можете предоставить PDO подсказки типа данных (PDO::PARAM_INT и т. д.). AFAIK, PDO пытается угадать.

все сразу с анонимными заполнители

вы также вводите массив для выполнения (), но он численно индексируется (не имеет строковых ключей). Значения будут заменить анонимный заполнителей в порядок их появления в вашем запросе / массиве - первое значение массива заменяет первый заполнитель и так далее. Увидеть erm410 ответ.

как и в массиве и именованных заполнителях, вы не можете предоставить подсказки типа данных.

что у них общего

• все они требуют, чтобы вы связали/предоставили столько значений, сколько у вас есть подстановки. Если вы свяжете слишком много / мало, PDO съест ваших детей.
• вам не нужно заботиться о убегая, PDO справляется с этим. Подготовленные операторы PDO безопасны для инъекций SQL по дизайну. Однако, это не относится к exec () и query () - вы обычно должны использовать только эти два жестко запросы.

также имейте в виду, что PDO выбрасывает исключения. Они могут раскрывать потенциально конфиденциальную информацию для пользователя. Вы должны, по крайней мере, положить свой начальная настройка PDO в блоке try/catch!

если вы не хочу, чтобы он бросал исключения позже, вы можете установить режим ошибки в предупреждение.

try {
  $db = new PDO(...);
  $db->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_WARNING)
} catch (PDOException $e) {
  echo 'Oops, something went wrong with the database connection.';
}

чтобы ответить на вопрос длины, укажите его необязательно, если параметр, который вы связываете, не является параметром OUT из хранимой процедуры, поэтому в большинстве случаев вы можете безопасно опустить его.

что касается безопасности, экранирование выполняется за кулисами при привязке параметров. Это возможно, поскольку при создании объекта необходимо было создать соединение с базой данных. Вы также защищены от атак SQL-инъекций, так как при подготовке инструкции вы сообщаете своей базе данных формат оператора перед вводом пользователем может приблизиться к нему. Пример:

$id = '1; MALICIOUS second STATEMENT';

mysql_query("SELECT * FROM `users` WHERE `id` = $id"); /* selects user with id 1 
                                                          and the executes the 
                                                          malicious second statement */

$stmt = $pdo->prepare("SELECT * FROM `users` WHERE `id` = ?") /* Tells DB to expect a 
                                                                 single statement with 
                                                                 a single parameter */
$stmt->execute(array($id)); /* selects user with id '1; MALICIOUS second 
                               STATEMENT' i.e. returns empty set. */

таким образом, с точки зрения безопасности, ваши примеры выше, кажется, хорошо.

наконец, я согласен, что привязка параметров индивидуально утомительна и так же эффективно выполняется с массивом, переданным PDOStatement - >execute () (см. http://www.php.net/manual/en/pdostatement.execute.php).