PDO 準備済みステートメントの使用方法を学習する

PDO は、PHP でデータベースにアクセスする方法であり、さまざまなリレーショナル データベースと対話できます。 PDO プリペアド ステートメントは PDO をより強力にする機能であり、SQL インジェクションなどのセキュリティ問題を効果的に回避できます。

この記事では、データベース操作に PDO プリペアド ステートメントを使用する方法に焦点を当てて、PDO プリペアド ステートメントについて紹介します。

PDO 準備済みステートメントとは何ですか?

PDO プリペアド ステートメントは、最初に SQL ステートメントを準備してから実行する方法です。 SQL クエリ ステートメントを 2 つのステップに分割することにより、SQL インジェクション攻撃を防止します。最初のステップはクエリの準備であり、2 番目のステップはクエリの実行です。

PDO プリペアド ステートメントを使用する利点:

1. セキュリティ チェック

PDO プリペアド ステートメントを使用すると、SQL インジェクション攻撃を防ぐことができます。クエリを準備する場合、$stmt = $pdo->prepare("SELECT * FROM users WHERE username = :username AND passwd = :password"); のようなステートメントを使用し、パラメータを定義するためにコロン (:) を使用します。 SQL ステートメントの分離とエスケープ。

2. パフォーマンスの向上

PDO プリペアド ステートメントが呼び出されるたびに、毎回クエリを実行するのではなく、データベースのコンパイルと最適化が 1 回だけで済むため、クエリの効率が向上します。

3. データ型プロンプト

PDO プリペアド ステートメントは、データベースが受信したパラメーターが正しいことを確認するためのデータ型プロンプトを提供できます。たとえば、PDO::PARAM_INT は整数型に使用できます。 。

PDO プリペアド ステートメントの使用方法

PDO プリペアド ステートメントを使用する前に、データベースに接続する必要があります。 MySQL データベースに接続するコード例を次に示します。

<?php
$dsn = 'mysql:host=localhost;dbname=test';
$username = 'root';
$password = '';

try {
    $pdo = new PDO($dsn, $username, $password);
} catch (PDOException $e) {
    echo 'Connection failed: ' . $e->getMessage();
    exit;
}

データベースに接続したので、PDO プリペアド ステートメントの使用を開始できます。 id、ユーザー名、パスワードのフィールドを含む users テーブルがあるとします。

まず、クエリ ステートメントを準備する必要があります。たとえば、ユーザー名とパスワードが一致するユーザーを取得したい場合は、準備済みステートメントを次のように定義できます。

$stmt = $pdo->prepare("SELECT * FROM users WHERE username = :username AND password = :password");

ここでコロン (:) を使用して、クエリする変数 ":username" を定義します。および ":password" "これらはすべて変数です。

次に、これらの変数に値をバインドする必要があります。これは、bindParam() メソッドまたは bindingValue() メソッドを通じて実行できます。 bindParam() はより多用途であり、変数の有効期間中に複数回使用できます。

$stmt->bindParam(':username', $username);
$stmt->bindParam(':password', $password);

bindValue() の目的は、値を変数に一度バインドすることです。変数をもう使用する必要がない場合は、このメソッドを使用することをお勧めします:

$stmt->bindValue(':username', $username);
$stmt->bindValue(':password', $password);

こちら, $username と $password は、クエリするユーザー名とパスワードです。

最後に、クエリを実行する必要があります。

$stmt->execute();

while ($row = $stmt->fetch()) {
    // do something with the rows
}

fetch() メソッドは、クエリ結果を行単位でフェッチし、各行を配列として返します。この結果セットをループ内で使用し、各行を操作できます。

概要

PDO プリペアド ステートメントは、SQL インジェクションを回避する最も効果的な方法の 1 つです。クエリを準備するとき、コロンはパラメータの指定、パラメータの分離、SQL ステートメントのエスケープに使用されます。 PDO プリペアド ステートメントが呼び出されるたびに、データベースはすべてのクエリを最適化するのではなく、1 つのクエリをコンパイルして最適化するだけで済むため、クエリの効率が向上します。

この記事では、PDO プリペアド ステートメントの使用方法と関連メソッドを紹介します。これは、より高レベルのアプリケーションで使用する場合、または SQL インジェクション攻撃を防止する場合に非常に役立つヒントとなります。

以上がPDO 準備済みステートメントの使用方法を学習するの詳細内容です。詳細については、PHP 中国語 Web サイトの他の関連記事を参照してください。