PHP MySQL 預(yù)處理語句
預(yù)處理語句對(duì)于防止 MySQL 注入是非常有用的。
SQL注入，就是通過把SQL命令插入到Web表單遞交或輸入域名或頁面請(qǐng)求的查詢字符串，最終達(dá)到欺騙服務(wù)器執(zhí)行惡意的SQL命令。
預(yù)處理語句及綁定參數(shù)
預(yù)處理語句用于執(zhí)行多個(gè)相同的 SQL 語句，并且執(zhí)行效率更高。
預(yù)處理語句的工作原理如下：
1.??? 預(yù)處理：創(chuàng)建 SQL 語句模板并發(fā)送到數(shù)據(jù)庫。預(yù)留的值使用參數(shù) "?" 標(biāo)記 。例如：
INSERT INTO MyGuests (firstname, lastname, email) VALUES(?, ?, ?)
2.??? 數(shù)據(jù)庫解析，編譯，對(duì)SQL語句模板執(zhí)行查詢優(yōu)化，并存儲(chǔ)結(jié)果不輸出。應(yīng)用可以多次執(zhí)行語句，如果參數(shù)的值不一樣。
3. ? ?執(zhí)行：最后，將應(yīng)用綁定的值傳遞給參數(shù)（"?" 標(biāo)記），數(shù)據(jù)庫執(zhí)行語句。
相比于直接執(zhí)行SQL語句，預(yù)處理語句有兩個(gè)主要優(yōu)點(diǎn)
· ? ?預(yù)處理語句大大減少了分析時(shí)間，只做了一次查詢（雖然語句多次執(zhí)行）。
· ? ?綁定參數(shù)減少了服務(wù)器帶寬，你只需要發(fā)送查詢的參數(shù)，而不是整個(gè)語句。
· ? ?預(yù)處理語句針對(duì)SQL注入是非常有用的，因?yàn)閰?shù)值發(fā)送后使用不同的協(xié)議，保證了數(shù)據(jù)的合法性。
MySQLi 預(yù)處理語句
以下實(shí)例在 MySQLi 中使用了預(yù)處理語句，并綁定了相應(yīng)的參數(shù):
<?php
header("Content-type:text/html;charset=utf-8"); //設(shè)置編碼
$servername = "localhost";
$username = "root";
$password = "root";
$dbname = "test";
// 創(chuàng)建連接
$conn = new mysqli($servername, $username, $password, $dbname);
// 檢測(cè)連接
if ($conn->connect_error) {
die("連接失敗: " . $conn->connect_error);
}
// 預(yù)處理及綁定
$stmt = $conn->prepare("INSERT INTO MyGuests (firstname, lastname, email) VALUES(?, ?, ?)");
$stmt->bind_param("sss", $firstname, $lastname, $email);
// 設(shè)置參數(shù)并執(zhí)行
$firstname = "John";
$lastname = "Doe";
$email = "john@example.com";
$stmt->execute();
$firstname = "Mary";
$lastname = "Moe";
$email = "mary@example.com";
$stmt->execute();
$firstname = "Julie";
$lastname = "Dooley";
$email = "julie@example.com";
$stmt->execute();
echo "新記錄插入成功";
$stmt->close();
$conn->close();
?>解析以下實(shí)例的每行代碼:
"INSERT INTO MyGuests (firstname, lastname, email) VALUES(?, ?, ?)"
在 SQL 語句中，我們使用了問號(hào) (?)，在此我們可以將問號(hào)替換為整型，字符串，雙精度浮點(diǎn)型和布爾值。
接下來，讓我們來看下 bind_param() 函數(shù)：
$stmt->bind_param("sss", $firstname, $lastname, $email);
該函數(shù)綁定了 SQL 的參數(shù)，且告訴數(shù)據(jù)庫參數(shù)的值。 "sss" 參數(shù)列處理其余參數(shù)的數(shù)據(jù)類型，上面有幾個(gè)（？）,下面就要有幾個(gè)數(shù)據(jù)類型，s 字符告訴數(shù)據(jù)庫該參數(shù)為字符串。
參數(shù)有以下四種類型:
· ? ?i - integer（整型）
· ? d - double（雙精度浮點(diǎn)型）
· ? ?s - string（字符串）
· ? b - BLOB（binary large object:二進(jìn)制大對(duì)象）
每個(gè)參數(shù)都需要指定類型。
關(guān)于怎么指定數(shù)據(jù)類型，在上一節(jié)已經(jīng)做了介紹
通過告訴數(shù)據(jù)庫參數(shù)的數(shù)據(jù)類型，可以降低 SQL 注入的風(fēng)險(xiǎn)。
上面的代碼執(zhí)行結(jié)果：
新記錄插入成功
看看你的數(shù)據(jù)有沒有插入成功？
實(shí)例
讓我們將表單里的數(shù)據(jù)插入數(shù)據(jù)庫
首先一個(gè)HTML 頁面
<!DOCTYPE html> <html lang="en"> <head> <meta charset="UTF-8"> <title>PHP中文網(wǎng)</title> </head> <body> <form action="insert.php" method="post"> Firstname: <input type="text" name="firstname" /><br/> Lastname: <input type="text" name="lastname" /><br/> email: <input type="text" name="email" /><br/> <input type="submit" /> </form> </body> </html>
提交到 php 頁面
<?php
header("Content-type:text/html;charset=utf-8"); //設(shè)置編碼
$servername = "localhost";
$username = "root";
$password = "root";
$dbname = "test";
// 創(chuàng)建連接
$conn = new mysqli($servername, $username, $password, $dbname);
// 檢測(cè)連接
if ($conn->connect_error) {
die("連接失敗: " . $conn->connect_error);
}
// 預(yù)處理及綁定
$stmt = $conn->prepare("INSERT INTO MyGuests (firstname, lastname, email) VALUES(?, ?, ?)");
$stmt->bind_param("sss", $firstname, $lastname, $email);
// 設(shè)置參數(shù)并執(zhí)行
$firstname = $_POST['firstname'];
$lastname =$_POST['lastname'];
$email = $_POST['email'];
$stmt->execute();
echo "新記錄插入成功";
$stmt->close();
$conn->close();
?>通過上面的兩個(gè)程序，就可以將我們表單里的數(shù)據(jù)插入到數(shù)據(jù)庫了
