准备SQL查询

Question

在我的PHP文件，我得到了一个SQL查询看起来像这样：

if(isset($_GET['id'])) 
{ 
    $id = $_GET['id']; 
    $q = "SELECT * FROM `objekt_t` WHERE `id`='" . $id . "'"; 
    $row = mysqli_query($con, $q) or die(mysqli_error($con)); 
    while($r = mysqli_fetch_assoc($row)) 
    { 
     $objekt = $r; 
    } 
} 

我意识到这是关于SQL注入和这样非常不安全的做法，所以我一直在寻找到准备的SQL querys ，使用绑定参数。看着bobby-tables.com我看到这个例子查询：

$stmt = $db->prepare('update people set name = ? where id = ?'); 
$stmt->bind_param('si',$name,$id); 
$stmt->execute(); 

我不明白，我应该怎么修改我的当前查询匹配使用绑定参数更安全的一个。任何帮助表示赞赏。

Answer 1

用同样的方法

$mysqli = new mysqli("localhost", "my_user", "my_password", "db"); 

if(isset($_GET['id'])) 
{ 
    $id = $_GET['id']; 
    $q = "SELECT some_field FROM `objekt_t` WHERE `id`= ?"; 

    if ($stmt = $mysqli->prepare($q)) {  
     $stmt->bind_param("i", $id); 
     $stmt->execute(); 
     $stmt->bind_result($result); 
     $stmt->fetch(); 
    } 
} 

现在$结果变量包含您查询的结果。

Answer 2

准备语句将原始数据传输到查询，以便SQL注入是不可能的。没有必要为real_escape_String或任何其他格式化函数转义，因为这样做对你有用。

例子：

$db = new mysqli ("host","user","password","database"); 
$statement = $db->prepare("SELECT test FROM test WHERE Username=?"); 
$statement->bind_param('s',$_POST['Username']); 
$statement->execute(); 
$statement->bind_result($resultCol); 
$statement->fetch(); 
$statement->close(); 

，因为数据被发送为原料，因此即使查询中包含注射剂的形式，为$ _ POST [我基本上是直接结合我的$ _ POST数据查询'用户名'];该查询将正常运行。

---

中的过程和OOP风格而言，它的下跌喜好，我personlly喜欢OOP风格在其他选项，因为它是更具可读性。

与数字打交道：

$ID= 5; 
$db = new mysqli ("host","user","password","database"); 
$statement = $db->prepare("SELECT test FROM test WHERE ID=?"); 
$statement->bind_param('i',$ID); 
$statement->execute(); 
$statement->bind_result($resultCol); 
$statement->fetch(); 
$statement->close(); 

或者你可以用精确值直接在声明中工作：

$db = new mysqli ("host","user","password","database"); 
$statement = $db->prepare("SELECT test FROM test WHERE ID='5'"); 
$statement->execute(); 
$statement->bind_result($resultCol); 
$statement->fetch(); 
$statement->close(); 

Answer 3

你可以这样说：

$stmt = $mysqli->prepare('SELECT * FROM objekt_t WHERE id = ?'); 
$stmt->bind_param('i', $id); 
$stmt->execute(); 

$result = $stmt->get_result(); 

while ($row = $result->fetch_assoc()) { 
    // $row is an associative array 
}