了解 PDO 准备语句和绑定参数

Question

根据经验，并且不断被告知使用准备好的语句和绑定参数的好处，我在代码中不断使用这两种技术，但是我想确切地了解这两种技术的用途：

根据我对准备好的陈述的理解：

$sql = "SELECT * FROM myTable WHERE id = ".$id;
$stmt = $conn->prepare($sql);
$stmt->execute();

前面的代码应该使用我建议的查询在数据库中创建一种缓冲区。现在根据我的理解（我可能是非常错误的），前面的代码是不安全的，因为字符串$sql可以是任何内容，具体取决于$id实际情况，如果$id= 1; DROP TABLE myTable;--，即使我有准备好的语句，我也会插入恶意查询。

根据我的理解，这是绑定我的参数的地方。如果我执行以下操作：

$sql = "SELECT * FROM myTable WHERE id = :id";
$stmt = $conn->prepare($sql);
$stmt->bindParam(':id', $id);
$stmt->execute();

数据库应该事先准确地知道sql语句的所有部分： SELECT这些列：* FROM myTable和WHERE id =“用户输入的变量”，如果"a variable that was input by the user" != a variable，则查询失败。

有些人告诉我我的理解是正确的，而另一些人则告诉我这是错误的，如果我错了、正确或遗漏了什么，有人可以告诉我吗？并根据您的需要进行详细说明，非常感谢所有反馈！

Answer 1

你是对的，第一种情况是不安全的。但重要的是要理解，只有在使用变量数据和/或重复执行相同的查询时，准备语句才有价值。如果您正在执行没有变量的普通语句，您可以简单地执行以下操作：

$sql = "SELECT * from myTable WHERE this_column IS NOT NULL";
$result = $conn->query($sql);

最终得到一个PDOStatement可以使用的对象，就像您使用PDO::exec().

对于你的第二种情况，同样，你基本上是正确的。发生的情况是传递给数据库的变量被转义并引用（除非您使用第三个参数另外指定PDOStatement::bindParam()，否则它将作为字符串发送，这在大多数情况下都可以。）因此，如果数据错误，查询不会“失败”已发送。它的行为就像您传递了一个数据库中不存在的有效数字一样。当然，在某些边缘情况下，即使您准备了正确的声明，您仍然容易受到攻击。

另外，为了让生活更轻松，您可以使用这样的准备好的语句来进行隐式绑定：

$sql = "SELECT * FROM myTable WHERE id = :id";
$stmt = $conn->prepare($sql);
$stmt->execute([":id"=>$id]);

或者甚至像这样，使用未命名的参数：

$sql = "SELECT * FROM myTable WHERE id = ?";
$stmt = $conn->prepare($sql);
$stmt->execute([$id]);

当然，大部分内容已经在我输入答案时在评论中进行了解释！