PHP PDO 預(yù)處理語(yǔ)句與存儲(chǔ)過(guò)程
很多更成熟的數(shù)據(jù)庫(kù)都支持預(yù)處理語(yǔ)句的概念。
什么是預(yù)處理語(yǔ)句?可以把它看作是想要運(yùn)行的 SQL 的一種編譯過(guò)的模板,它可以使用變量參數(shù)進(jìn)行定制。預(yù)處理語(yǔ)句可以帶來(lái)兩大好處:
- 查詢僅需解析(或預(yù)處理)一次,但可以用相同或不同的參數(shù)執(zhí)行多次。當(dāng)查詢準(zhǔn)備好后,數(shù)據(jù)庫(kù)將分析、編譯和優(yōu)化執(zhí)行該查詢的計(jì)劃。對(duì)于復(fù)雜的查詢,此過(guò)程要花費(fèi)較長(zhǎng)的時(shí)間,如果需要以不同參數(shù)多次重復(fù)相同的查詢,那么該過(guò)程將大大降低應(yīng)用程序的速度。通過(guò)使用預(yù)處理語(yǔ)句,可以避免重復(fù)分析/編譯/優(yōu)化周期。簡(jiǎn)言之,預(yù)處理語(yǔ)句占用更少的資源,因而運(yùn)行得更快。
- 提供給預(yù)處理語(yǔ)句的參數(shù)不需要用引號(hào)括起來(lái),驅(qū)動(dòng)程序會(huì)自動(dòng)處理。如果應(yīng)用程序只使用預(yù)處理語(yǔ)句,可以確保不會(huì)發(fā)生SQL 注入。(然而,如果查詢的其他部分是由未轉(zhuǎn)義的輸入來(lái)構(gòu)建的,則仍存在 SQL 注入的風(fēng)險(xiǎn))。
預(yù)處理語(yǔ)句如此有用,以至于它們唯一的特性是在驅(qū)動(dòng)程序不支持的時(shí)PDO 將模擬處理。這樣可以確保不管數(shù)據(jù)庫(kù)是否具有這樣的功能,都可以確保應(yīng)用程序可以用相同的數(shù)據(jù)訪問(wèn)模式。
用預(yù)處理語(yǔ)句進(jìn)行重復(fù)插入
下面例子通過(guò)用 name 和 value 替代相應(yīng)的命名占位符來(lái)執(zhí)行一個(gè)插入查詢
?php
$stmt = $dbh->prepare("INSERT INTO REGISTRY (name, value) VALUES (:name, :value)");
$stmt->bindParam(':name', $name);
$stmt->bindParam(':value', $value);
// 插入一行
$name = 'one';
$value = 1;
$stmt->execute();
// 用不同的值插入另一行
$name = 'two';
$value = 2;
$stmt->execute();
?>
用預(yù)處理語(yǔ)句進(jìn)行重復(fù)插入
下面例子通過(guò)用 name 和 value 取代 ? 占位符的位置來(lái)執(zhí)行一條插入查詢。
?php
$stmt = $dbh->prepare("INSERT INTO REGISTRY (name, value) VALUES (?, ?)");
$stmt->bindParam(1, $name);
$stmt->bindParam(2, $value);
// 插入一行
$name = 'one';
$value = 1;
$stmt->execute();
// 用不同的值插入另一行
$name = 'two';
$value = 2;
$stmt->execute();
?>
使用預(yù)處理語(yǔ)句獲取數(shù)據(jù)
下面例子獲取數(shù)據(jù)基于鍵值已提供的形式。用戶的輸入被自動(dòng)用引號(hào)括起來(lái),因此不會(huì)有 SQL 注入攻擊的危險(xiǎn)。
?php
$stmt = $dbh->prepare("SELECT * FROM REGISTRY where name = ?");
if ($stmt->execute(array($_GET['name']))) {
while ($row = $stmt->fetch()) {
print_r($row);
}
}
?>
如果數(shù)據(jù)庫(kù)驅(qū)動(dòng)支持,應(yīng)用程序還可以綁定輸出和輸入?yún)?shù).輸出參數(shù)通常用于從存儲(chǔ)過(guò)程獲取值。輸出參數(shù)使用起來(lái)比輸入?yún)?shù)要稍微復(fù)雜一些,因?yàn)楫?dāng)綁定一個(gè)輸出參數(shù)時(shí),必須知道給定參數(shù)的長(zhǎng)度。如果為參數(shù)綁定的值大于建議的長(zhǎng)度,就會(huì)產(chǎn)生一個(gè)錯(cuò)誤。
帶輸出參數(shù)調(diào)用存儲(chǔ)過(guò)程
?php
$stmt = $dbh->prepare("CALL sp_returns_string(?)");
$stmt->bindParam(1, $return_value, PDO::PARAM_STR, 4000);
// 調(diào)用存儲(chǔ)過(guò)程
$stmt->execute();
print "procedure returned $return_value\n";
?>
還可以指定同時(shí)具有輸入和輸出值的參數(shù),其語(yǔ)法類似于輸出參數(shù)。在下一個(gè)例子中,字符串"hello"被傳遞給存儲(chǔ)過(guò)程,當(dāng)存儲(chǔ)過(guò)程返回時(shí),hello 被替換為該存儲(chǔ)過(guò)程返回的值。
帶輸入/輸出參數(shù)調(diào)用存儲(chǔ)過(guò)程
?php
$stmt = $dbh->prepare("CALL sp_takes_string_returns_string(?)");
$value = 'hello';
$stmt->bindParam(1, $value, PDO::PARAM_STR|PDO::PARAM_INPUT_OUTPUT, 4000);
// 調(diào)用存儲(chǔ)過(guò)程
$stmt->execute();
print "procedure returned $value\n";
?>
占位符的無(wú)效使用
?php
$stmt = $dbh->prepare("SELECT * FROM REGISTRY where name LIKE '%?%'");
$stmt->execute(array($_GET['name']));
// 占位符必須被用在整個(gè)值的位置
$stmt = $dbh->prepare("SELECT * FROM REGISTRY where name LIKE ?");
$stmt->execute(array("%$_GET[name]%"));
?>
總結(jié)
以上就是這篇文章的全部?jī)?nèi)容了,希望本文的內(nèi)容對(duì)大家的學(xué)習(xí)或者工作具有一定的參考學(xué)習(xí)價(jià)值,謝謝大家對(duì)腳本之家的支持。如果你想了解更多相關(guān)內(nèi)容請(qǐng)查看下面相關(guān)鏈接
您可能感興趣的文章:- PHP PDO預(yù)處理語(yǔ)句及事務(wù)的使用
- php_pdo 預(yù)處理語(yǔ)句詳解
- PHP封裝類似thinkphp連貫操作數(shù)據(jù)庫(kù)Db類與簡(jiǎn)單應(yīng)用示例
- PHP5中使用mysqli的prepare操作數(shù)據(jù)庫(kù)的介紹
- php pdo操作數(shù)據(jù)庫(kù)示例
- PHP入門教程之使用Mysqli操作數(shù)據(jù)庫(kù)的方法(連接,查詢,事務(wù)回滾等)
- PHP使用PDO操作數(shù)據(jù)庫(kù)的亂碼問(wèn)題解決方法
- PHP中使用匿名函數(shù)操作數(shù)據(jù)庫(kù)的例子
- PHP中的MYSQL常用函數(shù)(php下操作數(shù)據(jù)庫(kù)必備)
- php 使用預(yù)處理語(yǔ)句操作數(shù)據(jù)庫(kù)