預處理語句對于防止 MySQL 注入是非常有用的。

預處理語句及綁定參數

預處理語句用于執行多個相同的 SQL 語句，并且執行效率更高。

預處理語句的工作原理如下：

預處理：創建 SQL 語句模板并發送到數據庫。預留的值使用參數 '?' 標記 。例如：INSERT INTO MyGuests (firstname, lastname, email) VALUES(?, ?, ?)數據庫解析，編譯，對SQL語句模板執行查詢優化，并存儲結果不輸出執行：最后，將應用綁定的值傳遞給參數（'?' 標記），數據庫執行語句。應用可以多次執行語句，如果參數的值不一樣。

相比于直接執行SQL語句，預處理語句有兩個主要優點：

預處理語句大大減少了分析時間，只做了一次查詢（雖然語句多次執行）綁定參數減少了服務器帶寬，你只需要發送查詢的參數，而不是整個語句預處理語句針對SQL注入是非常有用的，因為 參數值發送后使用不同的協議，保證了數據的合法性。MySQLi 預處理語句

以下實例在 MySQLi 中使用了預處理語句，并綁定了相應的參數:

實例 (MySQLi 使用預處理語句)<?php$servername = 'localhost';$username = 'username';$password = 'password';$dbname = 'myDB';// 創建連接$conn = new mysqli($servername, $username, $password, $dbname);// 檢測連接if ($conn->connect_error) { die('Connection failed: ' . $conn->connect_error);}// prepare and bind$stmt = $conn->prepare('INSERT INTO MyGuests (firstname, lastname, email) VALUES(?, ?, ?)');$stmt->bind_param('sss', $firstname, $lastname, $email);// 設置參數并執行$firstname = 'John';$lastname = 'Doe';$email = '[email protected]';$stmt->execute();$firstname = 'Mary';$lastname = 'Moe';$email = '[email protected]';$stmt->execute();$firstname = 'Julie';$lastname = 'Dooley';$email = '[email protected]';$stmt->execute();echo 'New records created successfully';$stmt->close();$conn->close();?>

解析以下實例的每行代碼:

'INSERT INTO MyGuests (firstname, lastname, email) VALUES(?, ?, ?)'

在 SQL 語句中，我們使用了問號 (?)，在此我們可以將問號替換為整型，字符串，雙精度浮點型和布爾值。

接下來，讓我們來看下 bind_param() 函數：

$stmt->bind_param('sss', $firstname, $lastname, $email);

該函數綁定了 SQL 的參數，且告訴數據庫參數的值。 'sss' 參數列處理其余參數的數據類型。s 字符告訴數據庫該參數為字符串。

參數有以下四種類型:

i - integer（整型）d - double（雙精度浮點型）s - string（字符串）b - BLOB（布爾值）

每個參數都需要指定類型。

通過告訴數據庫參數的數據類型，可以降低 SQL 注入的風險。

注意： 如果你想插入其他數據（用戶輸入），對數據的驗證是非常重要的。PDO 中的預處理語句

以下實例我們在 PDO 中使用了預處理語句并綁定參數:

實例 (PDO 使用預處理語句)<?php$servername = 'localhost';$username = 'username';$password = 'password';$dbname = 'myDBPDO';try { $conn = new PDO('mysql:host=$servername;dbname=$dbname', $username, $password); // 設置 PDO 錯誤模式為異常 $conn->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION); // 預處理 SQL 并綁定參數 $stmt = $conn->prepare('INSERT INTO MyGuests (firstname, lastname, email) VALUES (:firstname, :lastname, :email)'); $stmt->bindParam(’:firstname’, $firstname); $stmt->bindParam(’:lastname’, $lastname); $stmt->bindParam(’:email’, $email); // 插入行 $firstname = 'John'; $lastname = 'Doe'; $email = '[email protected]'; $stmt->execute(); // 插入其他行 $firstname = 'Mary'; $lastname = 'Moe'; $email = '[email protected]'; $stmt->execute(); // 插入其他行 $firstname = 'Julie'; $lastname = 'Dooley'; $email = '[email protected]'; $stmt->execute(); echo 'New records created successfully'; }catch(PDOException $e) { echo $sql . '<br>' . $e->getMessage(); }$conn = null;?>