预处理语句和存储过程

什么是预处理？

成熟的数据库都支持预处理语句（Prepared Statements)的概念。

它们是什么东西？你可以把它们想成是一种编译过的要执行的SQL语句模板，可以使用不同的变量参数定制它。

预处理语句具有两个主要的优点：

1 查询只需要被解析（或准备）一次，但可以使用相同或不同的参数执行多次。当查询准备好（Prepared）之后，数据库就会分析，编译并优化它要执行查询的计划。

对于复杂查询来说，如果你要重复执行许多次有不同参数的但结构相同的查询，这个过程会占用大量的时间，使得你的应用变慢。

通过使用一个预处理语句你就可以避免重复分析、编译、优化的环节。简单来说，预处理语句使用更少的资源，执行速度也就更快。

2 传给预处理语句的参数不需要使用引号，底层驱动会为你处理这个。

如果你的应用独占地使用预处理语句，你就可以确信没有SQL注入会发生。

代码演示:

<?php

header('content-type:text/html; charset=utf-8');

//实例化pdo对象

$pdo = new PDO('mysql:host=127.0.0.1;port=3306;dbname=test;', 'root', '888888');

//通过query函数执行sql命令

$pdo->query('set names utf8');

//插入数据

$sql    = "insert into persons (name,age) values (?, ?);";

$preObj = $pdo->prepare($sql);

$res    = $preObj->execute(array('小明', 22));

var_dump($res);

//删除数据

$sql = "delete from persons where id = ?";

$preObj = $pdo->prepare($sql);

$res    = $preObj->execute(array(3));

var_dump($res);

//修改数据

$sql = "update persons set name = ? where id = ?;";

$preObj = $pdo->prepare($sql);

$res    = $preObj->execute(array('lucy', 5));

var_dump($res);

//查询数据

$sql = "select * from persons where age > ? order by id desc;";

$preObj = $pdo->prepare($sql);

$preObj->execute(array(20));

$arr = $preObj->fetchAll(PDO::FETCH_ASSOC);

/*

 * FETCH_BOTH      是默认的，可省，返回关联和索引。

 * FETCH_ASSOC     参数决定返回的只有关联数组。

 * PDO::FETCH_NUM  返回索引数组

 * PDO::FETCH_OBJ  返回由对象组成的二维数组

 */

print_r($arr);

 PDO 简介——预处理语句和存储过程

标签： 存储数据库stringinsertsql优化

2008-09-28 18:16 5859人阅读 评论(3) 收藏 举报

分类：

PHP（10）

许多成熟的数据库都支持预处理语句（Prepared Statements)的概念。它们是什么东西？你可以把它们想成是一种编译过的要执行的SQL语句模板，可以使用不同的变量参数定制它。预处理语句具有两个主要的优点：

    查询只需要被解析（或准备）一次，但可以使用相同或不同的参数执行多次。当查询准备好（Prepared）之后，数据库就会分析，编译并优化它要执行查询的计划。对于复杂查询来说，如果你要重复执行许多次有不同参数的但结构相同的查询，这个过程会占用大量的时间，使得你的应用变慢。通过使用一个预处理语句你就可以避免重复分析、编译、优化的环节。简单来说，预处理语句使用更少的资源，执行速度也就更快。

    传给预处理语句的参数不需要使用引号，底层驱动会为你处理这个。如果你的应用独占地使用预处理语句，你就可以确信没有SQL注入会发生。（然而，如果你仍然在用基于不受信任的输入来构建查询的其他部分，这仍然是具有风险的）

正因为预处理语句是如此有用，它成了PDO唯一为不支持此特性的数据库提供的模拟实现。这使你可以使用统一的数据访问规范而不必关心数据库本身是否具备此特性。

    /*

    使用预处理语句重复插入数据(1)

    此示例演示了一个通过向命名占位符代入一个name和一个value值来执行的INSERT查询

    */

    $stmt = $dbh->prepare("INSERT INTO REGISTRY (name, value) VALUES (:name, :value)");

    $stmt->bindParam(':name', $name);

    $stmt->bindParam(':value', $value); //插入一行

    $name = 'one';

    $value = 1;

    $stmt->execute();//使用不同的值插入另一行

    $name = 'two';

    $value = 2;

    $stmt->execute();

    /*

    使用预处理语句重复插入数据(2)

    此示例演示了一个通过向用?表示的占位符代入一个name和一个value值来执行的INSERT查询

    */

    $stmt = $dbh->prepare("INSERT INTO REGISTRY (name, value) VALUES (?, ?)");

    $stmt->bindParam(1, $name);

    $stmt->bindParam(2, $value); // 插入一行

    $name = 'one';

    $value = 1;

    $stmt->execute(); // 使用不同的值插入另一行

    $name = 'two';

    $value = 2;

    $stmt->execute();

    /*

    通过预处理语句获取数据

    此示例演示使用从表单获取的数据为关键值来执行查询获取数据。用户的输入会被自动添加引号，所以这儿不存在SQL注入攻击的危险。

    */

    $stmt = $dbh->prepare("SELECT * FROM REGISTRY where name = ?");

        if ($stmt->execute(array($_GET['name']))) {

            while ($row = $stmt->fetch()) {

            print_r($row);

        }

    }

如果数据库驱动支持，你也可以像绑定输入参数那样绑定输出参数。输出参数常用于存储过程的返回值。输出参数用起来比输入参数稍微复杂一些，使用时你必须知道它返回的参数值有多大。如果它返回的参数值比你建议的大，就会发生错误。

    //调用一个带有输出参数的存储过程

    $stmt = $dbh->prepare("CALL sp_returns_string(?)");

    $stmt->bindParam(1, $return_value, PDO::PARAM_STR, 4000); //执行存储过程

    $stmt->execute();

    print "procedure returned $return_value/n";

 

你也可以指定既代表输入又代表输出的参数，语法类似于输出参数。在下个代码示例中，“hello”字符串被传递到存储过程中，当它返回时，hello就会被存储过程的返回值取代。

    //调用一个带有输入/输出参数的存储过程

    $stmt = $dbh->prepare("CALL sp_takes_string_returns_string(?)");

    $value = 'hello';

    $stmt->bindParam(1, $value, PDO::PARAM_STR|PDO::PARAM_INPUT_OUTPUT, 4000);

    // 执行存储过程

    $stmt->execute();

    print "procedure returned $value/n";

    //占位符的错误使用

    $stmt = $dbh->prepare("SELECT * FROM REGISTRY where name LIKE '%?%'");

    $stmt->execute(array($_GET['name'])); // 占位符必须用于整个值的位置（下面是正确的用法）

    $stmt = $dbh->prepare(”SELECT * FROM REGISTRY where name LIKE ?”);

    $stmt->execute(array(”%$_GET[name]%”));