預(yù)處理語(yǔ)句對(duì)于防止 MySQL 注入是非常有用的。

預(yù)處理語(yǔ)句及綁定參數(shù)

預(yù)處理語(yǔ)句用于執(zhí)行多個(gè)相同的 SQL 語(yǔ)句，并且執(zhí)行效率更高。

預(yù)處理語(yǔ)句的工作原理如下：

預(yù)處理：創(chuàng)建 SQL 語(yǔ)句模板并發(fā)送到數(shù)據(jù)庫(kù)。預(yù)留的值使用參數(shù) '?' 標(biāo)記 。例如：INSERT INTO MyGuests (firstname, lastname, email) VALUES(?, ?, ?)數(shù)據(jù)庫(kù)解析，編譯，對(duì)SQL語(yǔ)句模板執(zhí)行查詢優(yōu)化，并存儲(chǔ)結(jié)果不輸出執(zhí)行：最后，將應(yīng)用綁定的值傳遞給參數(shù)（'?' 標(biāo)記），數(shù)據(jù)庫(kù)執(zhí)行語(yǔ)句。應(yīng)用可以多次執(zhí)行語(yǔ)句，如果參數(shù)的值不一樣。

相比于直接執(zhí)行SQL語(yǔ)句，預(yù)處理語(yǔ)句有兩個(gè)主要優(yōu)點(diǎn)：

預(yù)處理語(yǔ)句大大減少了分析時(shí)間，只做了一次查詢（雖然語(yǔ)句多次執(zhí)行）綁定參數(shù)減少了服務(wù)器帶寬，你只需要發(fā)送查詢的參數(shù)，而不是整個(gè)語(yǔ)句預(yù)處理語(yǔ)句針對(duì)SQL注入是非常有用的，因?yàn)?參數(shù)值發(fā)送后使用不同的協(xié)議，保證了數(shù)據(jù)的合法性。MySQLi 預(yù)處理語(yǔ)句

以下實(shí)例在 MySQLi 中使用了預(yù)處理語(yǔ)句，并綁定了相應(yīng)的參數(shù):

實(shí)例 (MySQLi 使用預(yù)處理語(yǔ)句)<?php$servername = 'localhost';$username = 'username';$password = 'password';$dbname = 'myDB';// 創(chuàng)建連接$conn = new mysqli($servername, $username, $password, $dbname);// 檢測(cè)連接if ($conn->connect_error) { die('Connection failed: ' . $conn->connect_error);}// prepare and bind$stmt = $conn->prepare('INSERT INTO MyGuests (firstname, lastname, email) VALUES(?, ?, ?)');$stmt->bind_param('sss', $firstname, $lastname, $email);// 設(shè)置參數(shù)并執(zhí)行$firstname = 'John';$lastname = 'Doe';$email = 'john@example.com';$stmt->execute();$firstname = 'Mary';$lastname = 'Moe';$email = 'mary@example.com';$stmt->execute();$firstname = 'Julie';$lastname = 'Dooley';$email = 'julie@example.com';$stmt->execute();echo 'New records created successfully';$stmt->close();$conn->close();?>

解析以下實(shí)例的每行代碼:

'INSERT INTO MyGuests (firstname, lastname, email) VALUES(?, ?, ?)'

在 SQL 語(yǔ)句中，我們使用了問(wèn)號(hào) (?)，在此我們可以將問(wèn)號(hào)替換為整型，字符串，雙精度浮點(diǎn)型和布爾值。

接下來(lái)，讓我們來(lái)看下 bind_param() 函數(shù)：

$stmt->bind_param('sss', $firstname, $lastname, $email);

該函數(shù)綁定了 SQL 的參數(shù)，且告訴數(shù)據(jù)庫(kù)參數(shù)的值。 'sss' 參數(shù)列處理其余參數(shù)的數(shù)據(jù)類型。s 字符告訴數(shù)據(jù)庫(kù)該參數(shù)為字符串。

參數(shù)有以下四種類型:

i - integer（整型）d - double（雙精度浮點(diǎn)型）s - string（字符串）b - BLOB（布爾值）

每個(gè)參數(shù)都需要指定類型。

通過(guò)告訴數(shù)據(jù)庫(kù)參數(shù)的數(shù)據(jù)類型，可以降低 SQL 注入的風(fēng)險(xiǎn)。

注意： 如果你想插入其他數(shù)據(jù)（用戶輸入），對(duì)數(shù)據(jù)的驗(yàn)證是非常重要的。PDO 中的預(yù)處理語(yǔ)句

以下實(shí)例我們?cè)?PDO 中使用了預(yù)處理語(yǔ)句并綁定參數(shù):

實(shí)例 (PDO 使用預(yù)處理語(yǔ)句)<?php$servername = 'localhost';$username = 'username';$password = 'password';$dbname = 'myDBPDO';try { $conn = new PDO('mysql:host=$servername;dbname=$dbname', $username, $password); // 設(shè)置 PDO 錯(cuò)誤模式為異常 $conn->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION); // 預(yù)處理 SQL 并綁定參數(shù) $stmt = $conn->prepare('INSERT INTO MyGuests (firstname, lastname, email) VALUES (:firstname, :lastname, :email)'); $stmt->bindParam(’:firstname’, $firstname); $stmt->bindParam(’:lastname’, $lastname); $stmt->bindParam(’:email’, $email); // 插入行 $firstname = 'John'; $lastname = 'Doe'; $email = 'john@example.com'; $stmt->execute(); // 插入其他行 $firstname = 'Mary'; $lastname = 'Moe'; $email = 'mary@example.com'; $stmt->execute(); // 插入其他行 $firstname = 'Julie'; $lastname = 'Dooley'; $email = 'julie@example.com'; $stmt->execute(); echo 'New records created successfully'; }catch(PDOException $e) { echo $sql . '<br>' . $e->getMessage(); }$conn = null;?>