MySQL准备语句

Question

我只是想知道是否有一种方法可以在MySQL中使用某种形式的预处理语句,所以我不必转义所有输入,我不必将我的所有文件从MySQL切换到MySQLi.我真的不相信转义函数,所以如果有任何替代方法可以在常规MySQL中运行,那就太棒了.

Answer 1

使用PDO(PHP数据对象)连接到MySQL数据库.此方法将确保所有数据库输入始终被视为文本字符串,您将永远不必进行任何手动转义.

这与正确使用html_entities()来显示数据相结合,从你的数据库是为了保护你的页面从注射了坚实和良好的途径.我总是使用PDO来处理项目中的所有数据库连接.

创建数据库对象(在这种情况下强制执行某种字符编码):

try {
    $db = new PDO("mysql:host=[hostname];dbname=[database]",'[username]','[password]');
    $db->setAttribute(PDO::MYSQL_ATTR_INIT_COMMAND, "SET NAMES utf8");
    $db->setAttribute(PDO::ATTR_ERRMODE,PDO::ERRMODE_EXCEPTION);
    $db->exec('SET NAMES utf8');
} catch (PDOException $e) {
    echo $e->getMessage();
}

然后像这样使用它:

$id = 1;
$q = $db->prepare('SELECT * FROM Table WHERE id = ?');
$q->execute(array($id));
$row = $q->fetch();
echo $row['Column_1'];

要么

$q = $db->prepare('UPDATE Table SET Column_1 = ?, Column_2 = ? WHERE id = ?');
$q->execute(array('Value for Column_1','Value for Column_2',$id));

和通配符:

$search = 'John';
$q = $db->prepare('SELECT * FROM Table WHERE Column_1 LIKE ?');
$q->execute(array('%'.$search.'%'));
$num = $q->rowCount();
if ($num > 0) {
  while ($row = $q->fetch()) {
    echo $row['Column_1'];
  }
} else {
  echo "No hits!";
}

阅读更多:

如何在PHP中阻止SQL注入？

当*不*使用准备好的陈述？

PDO准备的陈述有多安全

http://php.net/manual/en/book.pdo.php