Pelaksanaan pertanyaan pilih menggunakan pernyataan pra -proses PHP secara berkesan dapat mencegah suntikan SQL dan meningkatkan keselamatan. 1. Pernyataan preprocessing berasingan struktur SQL dari data, hantar templat terlebih dahulu dan kemudian lulus parameter untuk mengelakkan input jahat yang merosakkan dengan logik SQL; 2. PDO dan MySQLI sambungan yang biasa digunakan dalam PHP melaksanakan pra -proses, di antaranya PDO menyokong pelbagai pangkalan data dan sintaks bersatu, sesuai untuk pemula atau projek yang memerlukan mudah alih; 3. Mysqli direka khas untuk MySQL, dengan prestasi yang lebih baik tetapi kurang fleksibiliti; 4. Apabila menggunakannya, anda harus memilih tempat letak yang sesuai (seperti? Atau nama tempat yang dinamakan) dan mengikat parameter melalui Execute () untuk mengelakkan SQL splicing secara manual; 5. Perhatikan kesilapan menangani dan hasil kosong untuk memastikan kekukuhan kod; 6. Sumber yang rapat dalam masa selepas pertanyaan untuk meningkatkan kestabilan program. Kedua -dua kaedah boleh mencegah suntikan, dan pilihan bergantung kepada keperluan projek dan keutamaan peribadi.

Melaksanakan pertanyaan pilih dengan pernyataan pra -proses PHP adalah amalan biasa untuk mencegah suntikan SQL dan meningkatkan keselamatan operasi pangkalan data. Sekiranya anda menyambungkan rentetan SQL secara langsung untuk pertanyaan, disyorkan untuk menukar kepada pernyataan yang disediakan secepat mungkin.

Apakah penyataan pra -proses?

Kenyataan yang disediakan adalah satu mekanisme untuk memisahkan struktur dan data pernyataan SQL. Ia mula -mula menghantar templat SQL dengan ruang letak ke pangkalan data, dan kemudian lulus nilai dan dijalankan selepas parameter siap. Kaedah "menyusun pertama dan kemudian lulus parameter" ini secara berkesan dapat mencegah serangan suntikan SQL, dan juga dapat meningkatkan kecekapan melaksanakan pertanyaan yang sama beberapa kali.

Dalam PHP, dua sambungan pangkalan data yang biasa digunakan menyokong penyataan pra -proses: PDO dan MySQLI. Berikut ini akan menerangkan cara menggunakannya untuk pertanyaan pilih secara berasingan.

Lakukan pertanyaan pilih dengan preprocessing menggunakan pdo

PDO adalah lebih umum, sokongan untuk sambungan pangkalan data berganda, sintaks bersatu, dan disyorkan untuk pemula atau mereka yang mahukan lebih banyak kod mudah alih.

Langkah -langkah asas adalah seperti berikut:

• Sambungkan ke pangkalan data
• Sediakan penyataan SQL
• Parameter mengikat (pilihan)
• Laksanakan pertanyaan
• Dapatkan hasil

Contoh kod:

 $ host = '127.0.0.1';
$ db = 'test_db';
$ user = 'root';
$ pass = '';
$ charset = 'UTF8MB4';

$ dsn = "mysql: host = $ host; dbName = $ db; charset = $ charset";
$ opt = [
    Pdo :: attr_errmode => pdo :: errmode_exception,
    Pdo :: attr_default_fetch_mode => pdo :: fetch_assoc
];
$ pdo = pdo baru ($ dsn, $ pengguna, $ lulus, $ opt);

$ stmt = $ pdo-> predied ('pilih id, nama, e-mel dari pengguna di mana id =?');
$ stmt-> Execute ([$ _ get ['id']]);
$ user = $ stmt-> fetch ();

jika ($ pengguna) {
    echo &#39;id:&#39;. $ pengguna [&#39;id&#39;]. &#39;<br>&#39;;
    Echo &#39;Nama:&#39;. $ pengguna [&#39;nama&#39;]. &#39;<br>&#39;;
    Echo &#39;E -mel:&#39;. $ pengguna [&#39;e -mel&#39;];
} else {
    echo &#39;Pengguna tidak wujud&#39;;
}

Beberapa nota:

• ? adalah pemegang tempat, sesuai untuk parameter lulus dalam rangka.
• Anda juga boleh menggunakan pemegang tempat yang dinamakan seperti :id , dan kemudian mengikat melalui bindParam() atau execute([':id' => $_GET['id']]) .
• Jangan pembolehubah splice secara manual ke dalam rentetan SQL, jika tidak, ia akan kehilangan makna untuk mencegah suntikan.

Lakukan pertanyaan pilih dengan preprocessing menggunakan mysqli

MySQLI adalah lanjutan yang direka khusus untuk MySQL, dengan prestasi yang lebih baik, tetapi tidak fleksibel seperti PDO.

Berikut adalah contoh mudah pendekatan berorientasikan objek:

 $ mysqli = mysqli baru ('localhost', 'root', '', 'test_db');

jika ($ mysqli-> connect_error) {
    mati ('sambungan gagal:'. $ mysqli-> connect_error);
}

$ stmt = $ mysqli-> Sediakan ('pilih id, nama, e-mel dari pengguna di mana id =?');
$ stmt-> bind_param ('i', $ id);
$ id = $ _get ['id'];
$ stmt-> Execute ();
$ result = $ stmt-> get_result ();

jika ($ row = $ result-> fetch_assoc ()) {
    echo &#39;id:&#39;. $ row [&#39;id&#39;]. &#39;<br>&#39;;
    Echo &#39;Nama:&#39;. $ row [&#39;nama&#39;]. &#39;<br>&#39;;
    Echo &#39;E -mel:&#39;. $ row [&#39;e -mel&#39;];
} else {
    echo &#39;Pengguna tidak wujud&#39;;
}

$ stmt-> tutup ();
$ mysqli-> tutup ();

Nota:

• Pengenalpastian jenis dalam bind_param() mestilah betul, seperti 'i' mewakili integer dan 's' mewakili rentetan.
• Jika anda tidak pasti tentang jenis input, anda boleh melakukan pengesahan atau penukaran terlebih dahulu.
• Ingatlah untuk menutup kenyataan dan sambungkan sumber. Walaupun PHP secara automatik akan dibebaskan pada akhir skrip, ia adalah kebiasaan yang baik untuk menutupnya secara eksplisit.

Kaedah mana yang lebih baik?

Tidak ada jawapan mutlak untuk soalan ini, bergantung kepada keperluan projek anda dan keutamaan peribadi:

• Jika anda perlu bersesuaian dengan pelbagai pangkalan data, atau seperti tulisan ringkas dan bersatu, gunakan PDO .
• Jika anda hanya menggunakan MySQL dan meneruskan prestasi muktamad, anda boleh menggunakan MySQLI .
• Kedua -dua sokongan preprocessing dan secara berkesan dapat mencegah suntikan SQL.

Di samping itu, tidak kira kaedah mana yang digunakan, anda harus memberi perhatian kepada perkara berikut:

• Jangan bersuara parameter ke SQL secara langsung
• Pemprosesan ralat hendaklah dilakukan selepas pertanyaan, seperti cuba menangkap atau jika menilai nilai pulangan
• Jika hasil pertanyaan kosong, ia juga harus dikendalikan untuk mengelakkan kesilapan.

Pada dasarnya itu sahaja. Pra-pemprosesan sebenarnya tidak rumit, tetapi mudah untuk mengabaikan butiran dan membawa kepada isu keselamatan. Hanya tulis mengikut corak di atas dan anda boleh menulis lebih banyak kod yang mantap.

Atas ialah kandungan terperinci Penyataan PHP Sediakan Pilih. Untuk maklumat lanjut, sila ikut artikel berkaitan lain di laman web China PHP!