php - パラメータ化されたクエリの例

Question

MySQL/PHP でパラメータ化されたクエリを使用する方法の例を教えてください。

Answer 1

パラメーター化されたクエリは、本質的にすべての入力を抽象化するクエリです。これには、すべての入力を無害にする (つまり、有害なインジェクションが不可能になる) ことや、事前に解析およびコンパイルされているため、繰り返し使用すると高速になるなど、いくつかの良い副作用があります。純粋な mysql の例は次のとおりです。

PREPARE qry FROM "INSERT INTO tbl VALUES (?)";

ステートメントはコンパイルおよびキャッシュされ、再コンパイルおよび解釈する必要なく繰り返し実行できます。

SET @var = "some input";
EXECUTE qry USING @var;
SET @var = "some other input";
EXECUTE qry USING @var;

PHPで使用する場合、通常は次のようになります(短縮):

$stmt = prepare('INSERT INTO tbl VALUES(?)');
execute($stmt, array("some input"));
execute($stmt, array("some other input"));
execute($stmt, array("some more input"));

Answer 2

PREPARE stmt_name FROM "SELECT name FROM Country WHERE code = ?";

SET @test_parm = "FIN";

EXECUTE stmt_name USING @test_parm;

ソース: MySQL 開発: プリペアド ステートメント