当前位置：文江博客话题详情

使用 PDO 准备参数化查询

发布于 2024-08-01 20:14:30 字数 161 浏览 4 评论 0原文

这是在 PHP 和 MySql 驱动的基于 Web 的应用程序中处理 SQL 的新的安全方法，以保护代码免遭 SQL 注入。我计划开始将 mysqli 与 PDO 一起使用。谁能概述一下我应该如何开始并继续。

对任何文章的任何参考也会有所帮助。

提前致谢。

原文

分享到QQ

分享到微博

如果你对这篇内容有疑问，欢迎到本站社区发帖提问参与讨论，获取更多帮助，或者扫码二维码加入 Web 技术交流群。

发布评论

需要登录才能够评论，你可以免费注册一个本站的账号。

怎樣才叫好 2024-08-08 20:14:30

创建连接

try {
    $db = new PDO("mysql:dbname=".DB_NAME.";host=".DB_HOST,DB_USER,DB_PWD);
} catch (PDOException $e) {
    die("Database Connection Failed: " . $e->getMessage());
}

然后准备语句

$prep = $db->prepare("SELECT * FROM `users` WHERE userid = ':id'");

正如您所看到的，您可以通过在任何字符串前添加“:”来标记您想要的每个参数。然后您要做的就是在执行时传递一个将参数 (:id) 映射到值的数组。

if (!$prep->execute(array(":id" => $userinput))) {
   $error = $prep->errorInfo();
   echo "Error: {$error[2]}"; // element 2 has the string text of the error
} else {
   while ($row = $prep->fetch(PDO::FETCH_ASSOC)) { // check the documentation for the other options here
        // do stuff, $row is an associative array, the keys are the field names
   }
}

除了使用“fetch”函数的 PDO::FETCH_ASSOC 之外，还有各种其他方法来获取数据。您可以使用 fetchAll 一次性获取所有结果的数组，而不是逐行获取。或者，您可以将信息数组作为 0 索引数组来获取，甚至可以将结果直接提取到类实例中（如果字段名称与类的属性一致）。

可以找到 PDO 的所有文档此处：PHP.net PDO 手册

To create the connection

try {
    $db = new PDO("mysql:dbname=".DB_NAME.";host=".DB_HOST,DB_USER,DB_PWD);
} catch (PDOException $e) {
    die("Database Connection Failed: " . $e->getMessage());
}

Then to prepare a statement

$prep = $db->prepare("SELECT * FROM `users` WHERE userid = ':id'");

As you can see, you label each parameter you'd like by prefixing any string with ':'. Then all you do is pass an array mapping the parameter (:id) to the value when you execute.

if (!$prep->execute(array(":id" => $userinput))) {
   $error = $prep->errorInfo();
   echo "Error: {$error[2]}"; // element 2 has the string text of the error
} else {
   while ($row = $prep->fetch(PDO::FETCH_ASSOC)) { // check the documentation for the other options here
        // do stuff, $row is an associative array, the keys are the field names
   }
}

Instead of PDO::FETCH_ASSOC with the "fetch" function, there are various other ways to get your data. You can use fetchAll to get an array of ALL the results at once instead of just going row by row. Or you can get the array of information as a 0-indexed array, or you can even fetch the results directly into a class instance (if the field names line up with the properties of the class.)

All the documentation of PDO can be found here: PHP.net PDO Manual

回复收藏 0 原文

~没有更多了~