何时在PHP Mysqli中使用准备好的语句？-用户表单搜索输入与选择查询

Question

我试图理解什么时候应该在php/mysqli中使用准备好的语句。每个php/mysqli查询应该使用准备好的语句，还是只使用涉及用户输入的查询和实例。。。比如一个html表单，它要求用户输入要在数据库中搜索的数据？

我正在将旧的php5/mysql代码迁移到php7/mysqli。我有许多查询mysql数据库的php文件。我想澄清一下，如果我需要为每个连接到mysql数据库的php文件使用准备好的语句。。。例如，通过“php require”引用的php文件，包括简单的sql select语句来呈现图像和指向html页面的链接？

<?php

//establish connection

$con = new mysqli('localhost','uid','pw','db');

//check connection

if ($con->connect_error) {
die("Connection failed: " . $con->connect_error);  
}

//search variable that stores user input

$search = "%{$_POST['search']}%";

//prepare, bind and fetch

$stmt = $con->prepare("SELECT image, caption FROM `tblimages`
WHERE catid = 3 AND caption LIKE ? order by caption ASC");
$stmt->bind_param("s", $search);
$stmt->execute();
$stmt->bind_result($image,$caption);

while ($stmt->fetch()) {
echo "{$image} <br> {$caption} <br>";    
}

$stmt->close();

//close database connection

mysqli_close($con);

?>

上面的代码很有效，是我第一次使用预处理语句。它从表单（空白框输入搜索词-帖子）中获取用户输入，并搜索数据库。。。然后将结果呈现到html页面。这似乎是对预先准备好的语句的合理使用。然而我有其他php文件，其中用户从表单中的下拉框中选择数据以呈现结果（用户不会像上面那样将数据输入搜索框）。我是否也会对该实例使用准备好的语句？另外，我是否为通过“php require”引用的php文件使用准备好的语句，并包括简单的sql select语句来呈现图像和指向html页面的链接？我还没有找到使用准备好的语句来防止sql注入的具体实例的说明。欢迎任何澄清或参考。

Answer 1

以下是MySQLi prepared语句在PHP中的工作方式：

准备一个以空值作为占位符的SQL查询（每个值都有一个问号）。通过声明每个变量及其类型，将变量绑定到占位符。执行查询。允许的四种变量类型：

i-整数

D-双

s-字符串

b-水滴

顾名思义，准备好的语句是一种准备MySQL调用的方法，无需存储变量。你告诉它变量最终会到达那里——只是还没有。演示它的最佳方式是通过示例。

$stmt = $mysqli->prepare("SELECT * FROM myTable WHERE name = ? AND age = ?");
$stmt->bind_param("si", $_POST['name'], $_POST['age']);
$stmt->execute();
//fetching result would go here, but will be covered later
$stmt->close();

如果您以前从未见过准备好的声明，这可能看起来有点奇怪。基本上，您正在为SQL语句创建一个模板。在本例中，我们从myTable中选择所有内容，其中name和age相等？。问号只是值的位置的占位符。

bind\u param（）方法用于将变量附加到准备好的模板中的伪值。注意变量前的引号中有两个字母。这会告诉数据库变量类型。s指定名称为字符串值，而i强制年龄为整数。这正是为什么我没有在名称的问号周围添加引号，就像我通常在SQL调用中为字符串添加引号一样。你可能以为我忘记了，但事实是根本没有必要这样做（事实上，如果在？周围加引号，实际上是行不通的，因为它将被视为字符串文字，而不是虚拟占位符）。

您已经告诉它，当您调用bind_param（）时，它将是一个字符串文字，因此即使恶意用户试图将SQL插入到您的用户输入中，它仍然会被视为一个字符串。$stmt-

Answer 2

简短回答：始终使用准备好的陈述。

长答案：

预准备语句将您的数据与SQL命令分开。它们由PDO或MySQLi提供。它们最大的优点是，如果您的数据被视为数据，则不可能有SQL注入。另一个优点是，您可以使用不同的数据集一遍又一遍地执行相同的查询，这可能对您的性能更好，并且通常会使您的代码更干净。

然而，有时您希望基于用户的选择或操作进行某种动态查询。您可能知道，表名和列名不是数据，而是SQL查询的一部分，因此不能将它们分开。然后，准备好的语句的替代方法是有一个可能值的白名单，并且只允许根据白名单验证用户输入。

您可能会问什么是查询、实查询、多查询和PDO：：exec
正如PHP手册所示，当您只需要执行不带任何变量的常量查询时，或者当您有一个无法准备的查询时，它们都很好。例如

$mysqli->query('SELECT Name FROM City LIMIT 10');
$pdo->exec('DELETE FROM fruit');
$mysqli->multi_query('DELETE FROM fruit; DELETE FROM pets;');

如果您知道数据的类型和值，该怎么办？您是否也应准备/绑定<是的！养成用SQL查询绑定所有数据的习惯。没有理由做出例外。要在代码中跟踪这些异常要困难得多，并且始终确保不会用一些未知输入覆盖“safe”值。

如果您仍然不确定如何使用预先准备好的语句，或者您认为它们太复杂（其实不是），那么可以在https://phpdelusions.net