L'exécution de requêtes sélectionnées à l'aide des instructions de prétraitement de PHP peut effectivement prévenir l'injection SQL et améliorer la sécurité. 1. Les instructions de prétraitement séparent la structure SQL des données, envoient d'abord des modèles, puis passent les paramètres pour éviter la falsification des entrées malveillantes avec la logique SQL; 2. Les extensions de PDO et MySQLI couramment utilisées dans PHP implémentent le prétraitement, parmi lesquelles PDO prend en charge plusieurs bases de données et syntaxe unifiée, adaptée aux débutants ou aux projets qui nécessitent une portabilité; 3. MySQLI est spécialement con?u pour MySQL, avec de meilleures performances mais moins de flexibilité; 4. Lorsque vous l'utilisez, vous devez sélectionner les espaces réservés appropriés (tels que? Ou les espaces réservés nommés) et lier les paramètres via EXECUTE () pour éviter l'épissage manuellement SQL; 5. Faites attention aux erreurs de traitement et aux résultats vides pour garantir la robustesse du code; 6. Fermer les ressources à temps après la requête pour améliorer la stabilité du programme. Les deux méthodes peuvent empêcher l'injection, et le choix dépend des besoins du projet et des préférences personnelles.

L'exécution de requêtes sélectionnées avec des instructions de prétraitement PHP est une pratique courante pour empêcher l'injection SQL et améliorer la sécurité de l'opération de base de données. Si vous avez épissé les cha?nes SQL directement pour l'interrogation, il est recommandé de passer à une instruction préparée dès que possible.

Que sont les déclarations de prétraitement?

Les instructions préparées sont un mécanisme pour séparer la structure et les données des instructions SQL. Il envoie d'abord un modèle SQL avec des espaces réservés à la base de données, puis transmet la valeur et s'exécute après que les paramètres sont prêts. Cette méthode "compiler d'abord puis de passer par les paramètres" peut effectivement prévenir les attaques d'injection SQL, et peut également améliorer l'efficacité de l'exécution de requêtes similaires plusieurs fois.

Dans PHP, deux extensions de base de données couramment utilisées prennent en charge les instructions de prétraitement: PDO et MySQLI. Ce qui suit expliquera comment les utiliser pour sélectionner séparément les requêtes.

Effectuez une requête sélectionnée avec le prétraitement en utilisant PDO

L'OPD est une prise en charge plus générale pour plusieurs extensions de base de données, une syntaxe unifiée et est recommandée pour les débutants ou ceux qui veulent un code plus portable.

Les étapes de base sont les suivantes:

• Connectez-vous à la base de données
• Préparer les instructions SQL
• Lier les paramètres (facultatif)
• Exécuter une requête
• Obtenir des résultats

Exemple de code:

 $ host = '127.0.0.1';
$ db = 'test_db';
$ user = 'root';
$ pass = '';
$ charse = 'utf8mb4';

$ dsn = "mysql: host = $ host; dbname = $ db; charset = $ starset";
$ opt = [
    PDO :: att_errMode => PDO :: errmode_exception,
    PDO :: att_default_fetch_mode => PDO :: fetch_assoc
]]
$ PDO = new PDO ($ dsn, $ utilisateur, $ pass, $ opt);

$ stmt = $ PDO-> Préparer ('Sélectionner ID, nom, e-mail dans les utilisateurs où id =?');
$ stmt-> exécuter ([$ _ get ['id']]);
$ user = $ stmt-> fetch ();

if ($ user) {
    echo &#39;id:&#39;. $ utilisateur [&#39;id&#39;]. &#39;<br>&#39;;
    Echo &#39;Nom:&#39;. $ utilisateur [&#39;name&#39;]. &#39;<br>&#39;;
    Echo &#39;Courriel:&#39;. $ utilisateur [&#39;e-mail&#39;];
} autre {
    écho ?l&#39;utilisateur n&#39;existe pas?;
}

Quelques notes:

• ? est un espace réservé, adapté aux paramètres de passage dans l'ordre.
• Vous pouvez également utiliser un espace réservé nommé tel que :id , puis lier via bindParam() ou execute([':id' => $_GET['id']]) .
• N'épissiez pas manuellement les variables en cha?nes SQL, sinon elle perdra le sens de la prévention de l'injection.

Effectuez une requête sélectionnée avec le prétraitement à l'aide de mysqli

MySQLI est une extension con?ue spécifiquement pour MySQL, avec des performances légèrement meilleures, mais pas aussi flexibles que l'APD.

Voici un exemple simple de l'approche orientée objet:

 $ mysqli = new mysqli ('localhost', 'root', '', 'test_db');

if ($ mysqli-> connect_error) {
    Die ('Connexion a échoué:'. $ mysqli-> connect_error);
}

$ stmt = $ mysqli-> Préparer ('sélectionner ID, nom, e-mail chez les utilisateurs où id =?');
$ stmt-> bind_param ('i', $ id);
$ id = $ _get ['id'];
$ stmt-> execute ();
$ result = $ stmt-> get_result ();

if ($ row = $ result-> fetch_assoc ()) {
    echo &#39;id:&#39;. $ row [&#39;id&#39;]. &#39;<br>&#39;;
    Echo &#39;Nom:&#39;. $ row [&#39;name&#39;]. &#39;<br>&#39;;
    Echo &#39;Courriel:&#39;. $ row [&#39;e-mail&#39;];
} autre {
    écho ?l&#39;utilisateur n&#39;existe pas?;
}

$ stmt-> close ();
$ mysqli-> close ();

Notes:

• L'identifiant de type dans bind_param() doit être correct, tel que 'i' représente un entier et 's' représente une cha?ne.
• Si vous n'êtes pas s?r du type d'entrée, vous pouvez d'abord effectuer une vérification ou une conversion.
• N'oubliez pas de fermer les déclarations et de connecter les ressources. Bien que PHP se libére automatiquement à la fin du script, c'est une bonne habitude de le fermer explicitement.

Quelle méthode est la meilleure?

Il n'y a pas de réponse absolue à cette question, selon les besoins de votre projet et les préférences personnelles:

• Si vous devez être compatible avec plusieurs bases de données ou comme une écriture concise et unifiée, utilisez PDO .
• Si vous utilisez uniquement MySQL et que vous poursuivez les performances ultimes, vous pouvez utiliser MySQLI .
• Les deux prennent en charge le prétraitement et peuvent prévenir efficacement l'injection de SQL.

De plus, quelle que soit la méthode utilisée, vous devez prêter attention aux points suivants:

• N'épissiez pas directement les paramètres dans SQL
• Le traitement des erreurs doit être effectué après la requête, comme Try Catch ou si pour juger la valeur de retour
• Si le résultat de la requête est vide, il doit également être géré pour éviter les erreurs.

Fondamentalement, c'est tout. Le prétraitement n'est en fait pas compliqué, mais il est facile d'ignorer les détails et de conduire à des problèmes de sécurité. écrivez simplement selon le modèle ci-dessus et vous pouvez écrire un code plus robuste.

Ce qui précède est le contenu détaillé de. pour plus d'informations, suivez d'autres articles connexes sur le site Web de PHP en chinois!