내 PHP 문서에서 SQL 쿼리

Question

준비, 나는 SQL 쿼리는 다음과 같이보고 있어요 바인딩 된 매개 변수를 사용합니다. 내가 바인딩 매개 변수를 사용하여 안전 하나와 일치하는 내 현재 쿼리를 수정하는 방법을 이해하지 못하는

$stmt = $db->prepare('update people set name = ? where id = ?'); 
$stmt->bind_param('si',$name,$id); 
$stmt->execute(); 

: bobby-tables.com 보면서 나는이 예제 쿼리를 참조하십시오. 어떤 도움을 주셔서 감사합니다.

Answer 1

$mysqli = new mysqli("localhost", "my_user", "my_password", "db"); 

if(isset($_GET['id'])) 
{ 
    $id = $_GET['id']; 
    $q = "SELECT some_field FROM `objekt_t` WHERE `id`= ?"; 

    if ($stmt = $mysqli->prepare($q)) {  
     $stmt->bind_param("i", $id); 
     $stmt->execute(); 
     $stmt->bind_result($result); 
     $stmt->fetch(); 
    } 
} 

지금 $ 변수에 포함 된 결과를 그냥 같은 방법으로 귀하의 쿼리의 resuts.

Answer 2

준비된 문은 원시 데이터를 쿼리에 전송하므로 SQL 주입이 불가능합니다. real_escape_String 또는 기타 형식 지정 기능은 사용자를 대신하여 탈출 할 필요가 없습니다.

예 : 데이터가 $ _POST [같은 쿼리가 분사의 형태를 포함하므로 경우에도 원료로 전송되고 있기 때문에 기본적으로 쿼리에 직접 내 $ _POST 데이터를 결합하고

$db = new mysqli ("host","user","password","database"); 
$statement = $db->prepare("SELECT test FROM test WHERE Username=?"); 
$statement->bind_param('s',$_POST['Username']); 
$statement->execute(); 
$statement->bind_result($resultCol); 
$statement->fetch(); 
$statement->close(); 

'사용자 이름']; 쿼리가 정상적으로 실행됩니다. 더 읽기의로 절차 및 OOP 스타일의 측면에서

---

, 그것은 아래로 취향에, 난 personlly 다른 옵션을 통해 OOP 스타일을 선호한다.

$ID= 5; 
$db = new mysqli ("host","user","password","database"); 
$statement = $db->prepare("SELECT test FROM test WHERE ID=?"); 
$statement->bind_param('i',$ID); 
$statement->execute(); 
$statement->bind_result($resultCol); 
$statement->fetch(); 
$statement->close(); 

또는 직접 문 내에서 정확한 값으로 작업 할 수 있습니다 :

번호로 작업

$db = new mysqli ("host","user","password","database"); 
$statement = $db->prepare("SELECT test FROM test WHERE ID='5'"); 
$statement->execute(); 
$statement->bind_result($resultCol); 
$statement->fetch(); 
$statement->close(); 

Answer 3

당신은 이런 식으로 작업을 수행 할 수 있습니다

$stmt = $mysqli->prepare('SELECT * FROM objekt_t WHERE id = ?'); 
$stmt->bind_param('i', $id); 
$stmt->execute(); 

$result = $stmt->get_result(); 

while ($row = $result->fetch_assoc()) { 
    // $row is an associative array 
}