PHP怎么使用预处理语句_PHP预处理语句防注入教程

预处理语句通过分离SQL结构与数据防止SQL注入，并提升重复执行语句的性能，PHP中主要用PDO或mysqli实现。

预处理语句在PHP中主要用于提高数据库操作的安全性，防止SQL注入攻击，并能提升性能，特别是对于重复执行的SQL语句。简单来说，就是先定义好SQL语句的结构，然后填充数据，数据库会预先编译这个结构，之后每次执行只需要传入不同的数据即可。

解决方案

PHP中使用预处理语句主要通过PDO（PHP Data Objects）扩展实现。以下是一个基本的使用流程：

1. 连接数据库： 首先，你需要创建一个PDO对象来连接数据库。

   立即学习“PHP免费学习笔记（深入）”；

   <?php
   $dsn = 'mysql:host=localhost;dbname=your_database';
   $user = 'your_username';
   $pass = 'your_password';
   
   try {
       $pdo = new PDO($dsn, $user, $pass);
       $pdo->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION); // 错误处理
   } catch (PDOException $e) {
       echo 'Connection failed: ' . $e->getMessage();
   }
   ?>

   登录后复制

   这里

   $dsn

   登录后复制
   包含了数据库类型、主机地址和数据库名。

   $user

   登录后复制
   和

   $pass

   登录后复制
   是数据库用户名和密码。

   PDO::ATTR_ERRMODE

   登录后复制
   用于设置错误处理模式，

   PDO::ERRMODE_EXCEPTION

   登录后复制
   表示抛出异常。

2. 准备SQL语句： 使用

   prepare()

   登录后复制
   方法准备SQL语句，其中的变量用占位符代替。

   $sql = "INSERT INTO users (username, email) VALUES (:username, :email)";
   $stmt = $pdo->prepare($sql);

   登录后复制

   这里的

   :username

   登录后复制
   和

   :email

   登录后复制
   就是占位符，它们会在后续步骤中被实际的值替换。

3. 绑定参数： 使用

   bindParam()

   登录后复制
   或

   bindValue()

   登录后复制
   方法将变量绑定到占位符。

   $username = 'john_doe';
   $email = 'john.doe@example.com';
   
   $stmt->bindParam(':username', $username);
   $stmt->bindParam(':email', $email);

   登录后复制

   或者使用

   bindValue()

   登录后复制
   ：

   $stmt->bindValue(':username', $username);
   $stmt->bindValue(':email', $email);

   登录后复制

   bindParam()

   登录后复制
   和

   bindValue()

   登录后复制
   的区别在于，

   bindParam()

   登录后复制
   绑定的是变量的引用，而

   bindValue()

   登录后复制
   绑定的是变量的值。这意味着，如果在使用

   bindParam()

   登录后复制
   后，变量的值发生了改变，那么执行SQL语句时会使用改变后的值。而

   bindValue()

   登录后复制
   则始终使用绑定时的值。

4. 执行SQL语句： 使用

   execute()

   登录后复制
   方法执行SQL语句。

   $stmt->execute();

   登录后复制

   如果需要插入多条数据，只需要改变变量的值，然后再次执行

   execute()

   登录后复制
   即可。

5. 查询数据： 如果是查询语句，可以使用

   fetch()

   登录后复制
   、

   fetchAll()

   登录后复制
   等方法获取结果。

   $sql = "SELECT * FROM users WHERE username = :username";
   $stmt = $pdo->prepare($sql);
   $stmt->bindValue(':username', 'john_doe');
   $stmt->execute();
   
   $result = $stmt->fetch(PDO::FETCH_ASSOC); // 获取一行数据，以关联数组形式返回
   
   if ($result) {
       echo "Username: " . $result['username'] . ", Email: " . $result['email'];
   } else {
       echo "User not found.";
   }

   登录后复制

预处理语句如何防止SQL注入？

预处理语句的核心在于，SQL语句的结构和数据是分开处理的。数据库在预处理阶段会分析SQL语句的结构，确定哪些部分是SQL代码，哪些部分是数据。然后，在执行阶段，会将数据作为参数传递给SQL语句，而不是直接拼接到SQL语句中。

这样，即使数据中包含SQL关键字，也不会被当做SQL代码来执行，而是会被当做普通的数据来处理，从而防止SQL注入。例如，如果

$username

"john_doe'; DROP TABLE users;"

DROP TABLE users

钉钉 AI 助理

钉钉AI助理汇集了钉钉AI产品能力，帮助企业迈入智能新时代。

21

查看详情

副标题1

预处理语句相比直接拼接SQL语句，性能提升体现在哪些方面？

预处理语句的性能优势主要体现在以下几个方面：

• 减少SQL解析次数： 对于相同的SQL语句，如果只是参数不同，预处理语句只需要解析一次。数据库会缓存预处理后的SQL语句，后续执行时直接使用缓存，避免重复解析。
• 减少网络传输量： 只需要传输参数，不需要每次都传输完整的SQL语句，减少了网络传输量。
• 数据库优化： 数据库可以针对预处理语句进行更深入的优化，例如选择更优的执行计划。

但需要注意的是，性能提升只有在重复执行相同SQL语句时才比较明显。如果SQL语句只执行一次，预处理语句的性能优势可能并不明显，甚至可能略低于直接拼接SQL语句。

副标题2

如何处理预处理语句中的IN语句？

处理IN语句稍微复杂一点，因为IN语句中的参数数量是不确定的。一种常见的做法是动态生成占位符。

<?php
$ids = [1, 2, 3, 4, 5];
$placeholders = implode(',', array_fill(0, count($ids), '?')); // 生成 ?,?,?,?,?
$sql = "SELECT * FROM products WHERE id IN ($placeholders)";

$stmt = $pdo->prepare($sql);

foreach ($ids as $key => $id) {
    $stmt->bindValue($key + 1, $id, PDO::PARAM_INT); // 注意索引从1开始
}

$stmt->execute();
$results = $stmt->fetchAll(PDO::FETCH_ASSOC);

// 打印结果
print_r($results);
?>

这个例子中，我们首先根据

$ids

bindValue()

PDO::PARAM_INT

另一种方法是使用命名占位符，代码如下：

<?php
$ids = [1, 2, 3, 4, 5];
$placeholders = [];
foreach (array_keys($ids) as $key) {
    $placeholders[] = ':id' . $key;
}
$placeholdersStr = implode(',', $placeholders); // 生成 :id0,:id1,:id2,:id3,:id4
$sql = "SELECT * FROM products WHERE id IN ($placeholdersStr)";

$stmt = $pdo->prepare($sql);

foreach ($ids as $key => $id) {
    $stmt->bindValue(':id' . $key, $id, PDO::PARAM_INT);
}

$stmt->execute();
$results = $stmt->fetchAll(PDO::FETCH_ASSOC);

// 打印结果
print_r($results);
?>

这个方法使用命名占位符，使得代码更易读，也更容易维护。

副标题3

除了PDO，还有其他方式在PHP中使用预处理语句吗？

虽然PDO是PHP中使用预处理语句最常见和推荐的方式，但还有其他一些方式，例如mysqli扩展。mysqli扩展也提供了预处理语句的支持，而且mysqli是MySQL官方推荐的扩展，对于MySQL数据库的支持更好。

以下是使用mysqli扩展的预处理语句的示例：

<?php
$mysqli = new mysqli("localhost", "your_username", "your_password", "your_database");

// 检查连接
if ($mysqli->connect_errno) {
    echo "Failed to connect to MySQL: " . $mysqli->connect_error;
    exit();
}

// 准备SQL语句
$sql = "INSERT INTO users (username, email) VALUES (?, ?)";
$stmt = $mysqli->prepare($sql);

// 绑定参数
$stmt->bind_param("ss", $username, $email); // "ss" 表示两个参数都是字符串类型

$username = "jane_doe";
$email = "jane.doe@example.com";

// 执行SQL语句
$stmt->execute();

// 关闭语句和连接
$stmt->close();
$mysqli->close();
?>

在这个例子中，

bind_param()

"s"

"i"

"d"

"b"

mysqli扩展的预处理语句也提供了防止SQL注入的功能，并且在某些情况下，性能可能比PDO更好。但是，PDO的通用性更好，可以用于连接多种类型的数据库，而mysqli只能用于连接MySQL数据库。选择哪个扩展取决于你的具体需求。

以上就是PHP怎么使用预处理语句_PHP预处理语句防注入教程的详细内容，更多请关注php中文网其它相关文章！