424-MYSQLI预处理

预处理

 * 1.预处理技术,可以将动态变量,从SQL语句中的分离出来,单独操作

 * 2.解决了SQL注入的安全问题

 * 3.预处理操作是通过一个叫预处理对象的工具来操作的: STMT

基本步骤:

 * 1.创建stmt预处理对象 * 2.检测SQL语句 * 3.参数绑定 * 4.执行查询 * 5.注销stmt预处理对象 * 6.关闭数据库连接

• 新增写操作--INSERT

实例

//1.连接数据库
require 'mysqli_connect.php';

//2.准备SQL语句,将变量部分使用占位符进行代替
$sql = "INSERT IGNORE staff SET name=?, sex=?, age=?,salary=?;";
$name = '杨康';
$sex = 0;
$age = 28;
$salary = 4800;

//3.创建并初始化预处理对象stmt
$stmt = mysqli_stmt_init($db);

//4.用stmt对象检测预处理语句是否正确,成功返回true,错误返回false
if (mysqli_stmt_prepare($stmt, $sql)) {

    /* 将变量与SQL语句中的占位符进行绑定 */
    mysqli_stmt_bind_param($stmt, "siii", $name,$sex,$age,$salary);

    /* 执行SQL语句 */
    if (mysqli_stmt_execute($stmt)) {
        //判断是否执行成功:受影响的记录数量
       if (mysqli_stmt_affected_rows($stmt) > 0) {
           echo '新增成功,主键是:'.mysqli_stmt_insert_id($stmt);
       } else {
           echo '没有新增任何数据';
       }
    } else { //返回SQL执行阶段的错误
        exit(mysqli_stmt_errno($stmt).':'.mysqli_stmt_error($stmt));
    }
} else { //返回SQL检测阶段的错误
    exit(mysqli_stmt_errno($stmt).':'.mysqli_stmt_error($stmt));
}
/* 注销stmt对象 */
mysqli_stmt_close($stmt);

/* 关闭数据库连接 */
mysqli_close($db);

• 简化版处理代码

实例

<?php
/医院
 * 预处理的简化版本:以新为例
 * 一次新增多条进行介绍
 */

//1.连接数据库
require 'mysqli_connect.php';

//2.准备SQL语句
$sql = "INSERT IGNORE staff SET name=?;";

//3.创建stmt对象
$stmt = mysqli_stmt_init($db);

//4.检测SQL语句
if (mysqli_stmt_prepare($stmt, $sql)) {

    /* 参数绑定 */
    mysqli_stmt_bind_param($stmt, "s", $name);
    $name = '武松';

    /* 执行SQL语句 */
    mysqli_stmt_execute($stmt);
    echo '<br>新增了'.mysqli_stmt_affected_rows($stmt).'条记录,主键是:'.mysqli_stmt_insert_id($stmt);

    //再次添加新数据,只需要给新变量并执行一下就可以了
    $name = '西门庆';

    /* 执行SQL语句 */
    mysqli_stmt_execute($stmt);
    echo '<br>新增了'.mysqli_stmt_affected_rows($stmt).'条记录,主键是:'.mysqli_stmt_insert_id($stmt);

    $name = '武大郎';

    /* 执行SQL语句 */
    mysqli_stmt_execute($stmt);
    echo '<br>新增了'.mysqli_stmt_affected_rows($stmt).'条记录,主键是:'.mysqli_stmt_insert_id($stmt);



} else {
    exit(mysqli_stmt_errno($stmt).':'.mysqli_stmt_error($stmt));
}
/* 注销stmt对象 */
mysqli_stmt_close($stmt);

/* 关闭数据库连接 */
mysqli_close($db);

简化的区别在于 去掉了 判断执行错误的步骤  直接显示成功的记录数量

区别代码如下

if (mysqli_stmt_execute($stmt)) {
       if (mysqli_stmt_affected_rows($stmt) > 0) {//判断是否执行成功:受影响的记录数量
           echo '新增成功,主键是:'.mysqli_stmt_insert_id($stmt);
       } else {
           echo '没有新增任何数据';
       }
    } else { //返回SQL执行阶段的错误
        exit(mysqli_stmt_errno($stmt).':'.mysqli_stmt_error($stmt));
    }

• 简简单单用两行代码 替换了九行代码   

mysqli_stmt_execute($stmt);
    echo '<br>新增了'.mysqli_stmt_affected_rows($stmt).'条记录,主键是:'.mysqli_stmt_insert_id($stmt);

• 更新操作--UPDATE

实例

//1.连接数据库
require 'mysqli_connect.php';

//2.准备SQL语句
$sql = "UPDATE wd2018 SET user_name=? WHERE SET user_id=?";

//3.创建stmt对象
$stmt = mysqli_stmt_init($db);

//4.检测SQL语句
if (mysqli_stmt_prepare($stmt, $sql)) {

    /* 参数绑定 */
    mysqli_stmt_bind_param($stmt, "ss", $user_name,$user_id);
    $user_name = '1352445';
    $user_id = '10';


    /* 执行SQL语句 */
    mysqli_stmt_execute($stmt);
    echo '<br> 更新了'.mysqli_stmt_affected_rows($stmt).'条记录,主键是:'.mysqli_stmt_insert_id($stmt);


} else {
    exit(mysqli_stmt_errno($stmt).':'.mysqli_stmt_error($stmt));
}
/* 注销stmt对象 */
mysqli_stmt_close($stmt);

/* 关闭数据库连接 */
mysqli_close($db);

• 删除操作--DELETE

实例

<?php
//1.连接数据库
require 'mysqli_connect.php';

//2.准备SQL语句
$sql = "DELETE FROM wd2018  WHERE user_id=?";
//3.创建stmt对象
$stmt = mysqli_stmt_init($db);

//4.检测SQL语句
if (mysqli_stmt_prepare($stmt, $sql)) {

    /* 参数绑定 */
    mysqli_stmt_bind_param($stmt, "s", $user_id);
    $user_id = '10';


    /* 执行SQL语句 */
    mysqli_stmt_execute($stmt);
    echo '<br> 成功删除了'.mysqli_stmt_affected_rows($stmt).'条记录';


} else {
    exit(mysqli_stmt_errno($stmt).':'.mysqli_stmt_error($stmt));
}
/* 注销stmt对象 */
mysqli_stmt_close($stmt);

/* 关闭数据库连接 */
mysqli_close($db);