MySQL 准备好的语句
Posted
技术标签:
【中文标题】MySQL 准备好的语句【英文标题】:MySQL Prepared Statements 【发布时间】:2011-09-16 18:58:36 【问题描述】:我只是想知道是否有一种方法可以在 mysql 中使用某种形式的预处理语句,这样我就不必转义所有输入,也不必将所有文件从 MySQL 切换到 MySQLi。我真的不相信转义函数,所以如果有任何替代方法可以在常规 MySQL 中工作,那就太好了。
【问题讨论】:
【参考方案1】:使用PDO (php Data Objects) 连接到您的 MySQL 数据库。此方法将确保所有数据库输入将始终被视为文本字符串,并且您永远不必进行任何手动转义。
这与正确使用 html_entities() 来显示来自您的数据库的数据相结合,是保护您的页面免受注入的可靠且良好的方法。我总是使用 PDO 来处理我的项目中的所有数据库连接。
创建数据库对象(在这种情况下强制执行某种字符编码):
try
$db = new PDO("mysql:host=[hostname];dbname=[database]",'[username]','[password]');
$db->setAttribute(PDO::MYSQL_ATTR_INIT_COMMAND, "SET NAMES utf8");
$db->setAttribute(PDO::ATTR_ERRMODE,PDO::ERRMODE_EXCEPTION);
$db->exec('SET NAMES utf8');
catch (PDOException $e)
echo $e->getMessage();
然后像这样使用它:
$id = 1;
$q = $db->prepare('SELECT * FROM Table WHERE id = ?');
$q->execute(array($id));
$row = $q->fetch();
echo $row['Column_1'];
或
$q = $db->prepare('UPDATE Table SET Column_1 = ?, Column_2 = ? WHERE id = ?');
$q->execute(array('Value for Column_1','Value for Column_2',$id));
并带有通配符:
$search = 'John';
$q = $db->prepare('SELECT * FROM Table WHERE Column_1 LIKE ?');
$q->execute(array('%'.$search.'%'));
$num = $q->rowCount();
if ($num > 0)
while ($row = $q->fetch())
echo $row['Column_1'];
else
echo "No hits!";
阅读更多:
How can I prevent SQL injection in PHP?
When *not* to use prepared statements?
how safe are PDO prepared statements
http://php.net/manual/en/book.pdo.php
【讨论】:
【参考方案2】:如果您不想处理转义输入的问题,您始终可以在输入时对其进行模式匹配,然后分派您预先编写的语句。如果要执行的可能语句相对较少,这真的是值得的。
【讨论】:
以上是关于MySQL 准备好的语句的主要内容,如果未能解决你的问题,请参考以下文章