PDO之繫結變數

用繫結變數 sql時，客戶端向伺服器傳送了乙個 sql語句的原型，伺服器端收到了這個 sql語句「框架」後，經過解析、預處理、生成並儲存該部分的執行計畫，然後返回給客戶端乙個控制代碼，之後每次執行這類查詢，都應使用這個控制代碼，之後的每次查詢，只需要傳送某些變數的值就可以了。

這樣看來，當一次會話中要執行多次類似的sql時，使用繫結變數 sql是更高效的，因為在 mysql伺服器端，只需要解析一次 sql語句了，也能省去部分執行計畫的生成。同時，每次查詢都只需要傳送某些變數的值，相比於每次使用完整的 sql語句，減少了網路開銷。

同時，繫結變數 sql也更加安全，無需在應用程式中對使用者輸入進行轉義了，mysql伺服器將每次傳過來的值進行轉義，這也比在應用程式轉義更加安全。

注意，使用pdo的繫結變數時，一定要將pdo::attr_emulate_prepares設定為 false，否則只是在客戶端中模擬繫結變數，一系列操作包括轉義，都是在客戶端完成的，每次傳送給 mysql伺服器的都只是乙個普通的查詢。

$dsn = 'mysql:host=localhost;dbname=sakila';
$username = 'root';
$passwd = 'root';
$pdo = new pdo( $dsn, $username, $passwd, [
pdo::attr_emulate_prepares => false,
pdo::mysql_attr_init_command => 'set names utf8'
]);$sql = "select * from address where city_id = :city_id ";
$stmt = $pdo->prepare($sql);
$stmt->bindvalue(":city_id", 300);
$stmt->execute();
$stmt->bindvalue(":city_id", "' or 1 = 1#");
$stmt->execute();
// 未展示 bindparam 用法

在mysql命令列中輸入 set global general_log = 『on』，就可以在日誌中記錄所有執行過的 sql了。執行上述**，myssql 執行過程為：

connect root@localhost on sakila using tcp/ip prepare select * from address where city_id = ? execute select * from address where city_id = '300' execute select * from address where city_id = '\' or 1 = 1#' close stmt

quit

如果不將設為false，那麼 mysql伺服器執行過程將是：

connect root@localhost on sakila using tcp/ip query select * from address where city_id = '300' query select * from address where city_id = '\' or1 = 1#'

quit

完全沒有用到 prepare 和 execute。

PDO之繫結變數

資料庫開發之繫結變數

pl sql 繫結變數

繫結變數窺測

PDO之繫結變數

資料庫開發之繫結變數

pl sql 繫結變數

繫結變數窺測

相關推薦