預處理語句對於防止 MySQL 注入是非常有用的。

預處理語句及綁定參數(shù)

#預處理語句用於執(zhí)行多個相同的 SQL 語句，並且執(zhí)行效率更高。

預處理語句的工作原理如下：

1. 預處理：建立 SQL 語句範本並傳送到資料庫。預留的值使用參數(shù) "?" 標記 。例如：

INSERT INTO MyGuests (firstname, lastname, email) VALUES(?, ?, ?)

2. 資料庫解析，編譯，對SQL語句範本執(zhí)行查詢最佳化，並儲存結(jié)果不輸出。

3. 執(zhí)行：最後，將應用綁定的值傳遞給參數(shù)（"?" 標記），資料庫執(zhí)行語句。應用可以多次執(zhí)行語句，如果參數(shù)的值不一樣。

比起直接執(zhí)行SQL語句，預處理語句有兩個主要優(yōu)點：

1) 預處理語句大大減少了分析時間，只做了一次查詢（雖然語句多次執(zhí)行）。

2) 綁定參數(shù)減少了伺服器頻寬，你只需要傳送查詢的參數(shù)，而不是整個語句。

預處理語句針對SQL注入是非常有用的，因為參數(shù)值發(fā)送後使用不同的協(xié)議，保證了資料的合法性。

MySQLi 預處理語句

#以下實例在MySQLi 中使用了預處理語句，並綁定了對應的參數(shù):

實例(MySQLi 使用預處理語句)

<?php
$servername = "localhost";
$username = "username";
$password = "password";
$dbname = "myDB";
// 創(chuàng)建連接
$conn = new mysqli($servername, $username, $password, $dbname);
// 檢測連接
if ($conn->connect_error){
    die("連接失敗: " . $conn->connect_error);
}
// 預處理及綁定
$stmt = $conn->prepare("INSERT INTO MyGuests (firstname, lastname, email) VALUES(?, ?, ?)");
$stmt->bind_param("sss", $firstname, $lastname, $email);
// 設置參數(shù)并執(zhí)行
$firstname = "John";
$lastname = "Doe";
$email = "john@example.com";
$stmt->execute();
$firstname = "Mary";
$lastname = "Moe";
$email = "mary@example.com";
$stmt->execute();
$firstname = "Julie";
$lastname = "Dooley";
$email = "julie@example.com";
$stmt->execute();
echo "新記錄插入成功";
$stmt->close();
$conn->close();
?>

#解析下列實例的每行程式碼:

"INSERT INTO MyGuests (firstname, lastname, email) VALUES(?, ?, ?)"

在SQL 語句中，我們使用了問號(?)，在此我們可以將問號替換為整數(shù)型，字串，雙精確度浮點型和布林值。

接下來，讓我們來看下bind_param() 函數(shù)：

$stmt->bind_param("sss", $firstname, $lastname, $email);

此函數(shù)綁定了SQL 的參數(shù)，並且告訴資料庫參數(shù)的值。 "sss" 參數(shù)列處理其餘參數(shù)的資料型態(tài)。 s 字元告訴資料庫此參數(shù)為字串。

參數(shù)有以下四種型別:

i - integer（整數(shù)型）

d - double（雙精確度浮點型）

s - string（字串）

b - BLOB（binary large object:二進位大物件）

每個參數(shù)都需要指定型別。

透過告訴資料庫參數(shù)的資料類型，可以降低 SQL 注入的風險。

注意：?如果你想插入其他資料（使用者輸入），資料的驗證是非常重要的。

PDO 中的預處理語句

#以下實例我們在PDO 中使用了預處理語句並綁定參數(shù):

實例(PDO 使用預處理語句)

<?php
$servername = "localhost";
$username = "username";
$password = "password";
$dbname = "myDBPDO";
try {
    $conn = new PDO("mysql:host=$servername; dbname=$dbname", $username, $password);
    // 設置 PDO 錯誤模式為異常
    $conn->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);
    // 預處理 SQL 并綁定參數(shù)
    $stmt = $conn->prepare("INSERT INTO MyGuests (firstname, lastname, email)
    VALUES (:firstname, :lastname, :email)");
    $stmt->bindParam(':firstname', $firstname);
    $stmt->bindParam(':lastname', $lastname);
    $stmt->bindParam(':email', $email);
    // 插入行
    $firstname ="John";
    $lastname = "Doe";
    $email = "john@example.com";
    $stmt->execute();
    // 插入其他行
    $firstname = "Mary";
    $lastname = "Moe";
    $email = "mary@example.com";
    $stmt->execute();
    // 插入其他行
    $firstname = "Julie";
    $lastname = "Dooley";
    $email = "julie@example.com";
    $stmt->execute();
    echo "新記錄插入成功";
}
catch(PDOException $e)
{
    echo $sql . "<br>" . $e->getMessage();
}
$conn = null;
?>