使用 PDO 查询代替 mysql，即已弃用

Posted 2023-05-07

【中文标题】使用 PDO 查询代替 mysql，即已弃用

【英文标题】：Using PDO queries in place of mysql i.e deprecated

【发布时间】：2019-02-03 08:41:36

【问题描述】：

众所周知，mysql 已在 php v7.0 中删除，我正在尝试使用 pdo 使用以下示例使用数据表获取数据（服务器端），但它在 mysql 中需要它在 pdo 中： 代码：

列：

/* Array of database columns which should be read and sent back to DataTables. Use a space where
 * you want to insert a non-database field (for example a counter or static image)
 */
$aColumns = array( 'first_name', 'last_name', 'position', 'office', 'salary' );

/* Indexed column (used for fast and accurate table cardinality) */
$sIndexColumn = "id";

/* DB table to use */
$sTable = "datatables_demo";

创建 PDO 连接：

$db_host = "localhost";
$db_name = "sadad";
$db_user = "root";
$db_pass = "root";

try
    $db_con = new PDO("mysql:host=$db_host;dbname=$db_name",$db_user,$db_pass);
    $db_con->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);

catch(PDOException $e)
    echo $e->getMessage();

以下代码：

$sLimit = "";
if ( isset( $_GET['iDisplayStart'] ) && $_GET['iDisplayLength'] != '-1' )

    $sLimit = "LIMIT ".$db_con->quote( $_GET['iDisplayStart'] ).", ".
        $db_con->quote( $_GET['iDisplayLength'] );



/*
 * Ordering
 */
if ( isset( $_GET['iSortCol_0'] ) )

    $sOrder = "ORDER BY  ";
    for ( $i=0 ; $i<intval( $_GET['iSortingCols'] ) ; $i++ )
    
        if ( $_GET[ 'bSortable_'.intval($_GET['iSortCol_'.$i]) ] == "true" )
        
            $sOrder .= $aColumns[ intval( $_GET['iSortCol_'.$i] ) ]."
                ".$db_con->quote( $_GET['sSortDir_'.$i] ) .", ";
        
    

    $sOrder = substr_replace( $sOrder, "", -2 );
    if ( $sOrder == "ORDER BY" )
    
        $sOrder = "";
    



/* 
 * Filtering
 * NOTE this does not match the built-in DataTables filtering which does it
 * word by word on any field. It's possible to do here, but concerned about efficiency
 * on very large tables, and MySQL's regex functionality is very limited
 */
$sWhere = "";
if ( $_GET['sSearch'] != "" )

    $sWhere = "WHERE (";
    for ( $i=0 ; $i<count($aColumns) ; $i++ )
    
        $sWhere .= $aColumns[$i]." LIKE '%".$db_con->quote( $_GET['sSearch'] )."%' OR ";
    
    $sWhere = substr_replace( $sWhere, "", -3 );
    $sWhere .= ')';


/* Individual column filtering */
for ( $i=0 ; $i<count($aColumns) ; $i++ )

    if ( $_GET['bSearchable_'.$i] == "true" && $_GET['sSearch_'.$i] != '' )
    
        if ( $sWhere == "" )
        
            $sWhere = "WHERE ";
        
        else
        
            $sWhere .= " AND ";
        
        $sWhere .= $aColumns[$i]." LIKE '%".$db_con->quote($_GET['sSearch_'.$i])."%' ";
    

$my = str_replace(" , ", " ", implode(", ", $aColumns));

/*
 * SQL queries
 * Get data to display
 */
$sQuery = $db_con->query("SELECT $my FROM   $sTable $sWhere $sOrder $sLimit")->fetchAll(); 
//$rResult = ( $sQuery );

/* Data set length after filtering */
$sQuery = "
    SELECT FOUND_ROWS()
";
//$rResultFilterTotal = $sQuery;
$aResultFilterTotal = $sQuery;
$iFilteredTotal = $aResultFilterTotal[0];

/* Total data set length */
$sQuery = "
    SELECT COUNT(".$sIndexColumn.")
    FROM   $sTable
";
$rResultTotal = $db_con->query( $sQuery ) or die(mysql_error());
$aResultTotal = $rResultTotal->fetchAll();
$iTotal = $aResultTotal[0];


/*
 * Output
 */
$output = array(
    "sEcho" => intval($_GET['sEcho']),
    "iTotalRecords" => $iTotal,
    "iTotalDisplayRecords" => $iFilteredTotal,
    "aaData" => array()
);

while ( $aRow = $rResult->fetchAll() )

    $row = array();
    for ( $i=0 ; $i<count($aColumns) ; $i++ )
    
        if ( $aColumns[$i] == "version" )
        
            /* Special output formatting for 'version' column */
            $row[] = ($aRow[ $aColumns[$i] ]=="0") ? '-' : $aRow[ $aColumns[$i] ];
        
        else if ( $aColumns[$i] != ' ' )
        
            /* General output */
            $row[] = $aRow[ $aColumns[$i] ];
        
    
    $output['aaData'][] = $row;


echo json_encode( $output );

错误： 但我收到了错误，我不知道上面要改变什么，在 pdo 中开始，更新的代码答案将不胜感激：

更新代码现在收到以下错误

[28-Aug-2018 16:58:39 UTC] PHP Fatal error:  Uncaught exception 'PDOException' with message 'SQLSTATE[42000]: Syntax error or access violation: 1064 You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near ''asc' LIMIT '0', '50'' at line 2' in C:\MAMP\htdocs\backend\my.php:131
Stack trace:
#0 C:\MAMP\htdocs\backend\my.php(131): PDO->query('SELECT first_na...')
#1 main
  thrown in C:\MAMP\htdocs\backend\my.php on line 131
**ERROR:**

【问题讨论】：

如果您要切换到 PDO（太棒了！），您需要将 everything 切换到 PDO。不能和mysql混用。

您不能有任何mysql_ 代码。您需要选择mysqli 或pdo 他们不一样。 mysqli 也不仅可以与 mysql_ 互换。

@Don'tPanic 是的，我知道，但我该怎么做，我不知道该用什么来代替 mysql，目前是 pdo 的初学者

php.net/manual/en/pdo.query.php 是一样的……但这不是一个好用的函数。要真正利用 PDO 提供的功能，您应该使用 prepare 和 execute 并绑定您的参数。

查看现有代码（看起来已经像一些 CRUD 抽象）和可选的 LIMIT 和 ORDER BY 属性；您可能应该在 PDO 上选择一个抽象库。这比管理? 占位符和->execute([…]) 的可选参数，或类型转换LIMIT 标量或白名单列名（不能真正绑定）要少。

【参考方案1】：

我在这里看到一个问题：

$sWhere .= $aColumns[$i]." LIKE '%".$db_con->quote($_GET['sSearch_'.$i])."%' ";

PDO::quote() 函数的输出与不推荐使用的旧 mysql_real_escape_string() 函数的输出不同。

假设您的字符串是“O'Reilly”并且您需要转义撇号。

mysql_real_escape_string("O'Reilly") 将返回：

    O\'Reilly

而$db_con->quote("O'Reilly") 将返回：

    'O\'Reilly'

quote() 函数将字符串分隔符添加到字符串的开头和结尾。这使其与 MySQL 内置函数 QUOTE() 的工作方式相同

所以当你以你的方式使用PDO::quote()时：

$sWhere .= $aColumns[$i]." LIKE '%".$db_con->quote($_GET['sSearch_'.$i])."%' ";

生成的 SQL 子句如下所示：

... WHERE mycolumn LIKE '%'search'%' ...

这是行不通的。你需要它是：

... WHERE mycolumn LIKE '%search%' ...

一种解决方案是添加% 通配符，然后引用结果：

$sWhere .= $aColumns[$i]." LIKE ".$db_con->quote('%'.$_GET['sSearch_'.$i].'%') ;

现在它利用PDO::quote() 添加字符串分隔符。

顺便说一句，我发现所有. 字符串连接让PHP 看起来很糟糕。代码很难编写，也很难阅读和调试。我更喜欢直接在字符串中使用变量。不要害怕用两行代码完成这项工作。将太多内容塞进一行代码并不总是最好的代码可读性。

$pattern = $db_con->quote("%$_GET["sSearch_$i"]%");

$sWhere .= "$aColumns[$i] LIKE $pattern";

但还有另一种更简单、更安全的方法。

使用查询参数而不是转义/引用。

$params[] = "%$_GET["sSearch_$i"]%";

$sWhere .= "$aColumns[$i] LIKE ?";

然后……

$stmt = $db_con->prepare($sQuery);
$stmt->execute($params);
while ($row = $stmt->fetchAll()) 
    ...

使用参数比使用转义/引用更简单。您不必担心引号是否正确平衡，因为参数占位符 ? 不需要围绕它的字符串分隔符。

如果您正在学习 PDO，我建议您阅读一下：

https://phpdelusions.net/pdo - 一个很好的教程。

http://php.net/pdo - 参考文档。

两者都很重要且有用。参考文档不利于学习，但在完成教程后它们很有用，可以提醒自己语法、参数、返回值等。我已经完成了大量 PDO 编码，但我经常打开参考文档。

【讨论】：

感谢您提供这么好的信息！终于成功了