Requêtes préparées

Bienvenue dans la prochaine leçon ! Dans cette leçon, vous apprendrez ce que sont les requêtes préparées et comment elles rendent vos interactions avec la base de données sûres et efficaces. Commençons !

Que sont les requêtes préparées ?

Les requêtes préparées sont une fonctionnalité des systèmes de gestion de bases de données qui vous permet d'exécuter des requêtes SQL de manière sûre et efficace. Elles séparent le code SQL des données, ce qui empêche les attaques par injection SQL.

Exemple : Utiliser des paramètres de substitution (:name, :email) au lieu d'intégrer directement les données saisies par l'utilisateur dans la requête.

Pourquoi utiliser des requêtes préparées ?

Les requêtes préparées offrent plusieurs avantages :

• Sécurité : Prévenir les injections SQL en échappant les données saisies par les utilisateurs.
• Efficacité : Réutiliser la même instruction avec des données différentes afin de réduire le temps d'analyse de la requête.
• Facilité de maintenance : Rendre votre code plus facile à lire et à déboguer.

Point clé : Utilisez toujours des requêtes préparées lorsque vous interagissez avec des données fournies par les utilisateurs.

Créer une requête préparée

Pour créer une requête préparée, suivez les étapes suivantes :

1. Rédigez la requête SQL avec des paramètres de substitution.
2. Préparez la requête à l'aide de la connexion à la base de données.
3. Liez les valeurs aux paramètres de substitution.
4. Exécutez l'instruction.

Exemple :

Astuce : Utilisez des tableaux associatifs pour lier facilement les valeurs.

<?php
  $sql = "INSERT INTO users (name, email) VALUES (:name, :email)";
  $stmt = $pdo->prepare($sql);
  $stmt->execute(["name" => "Alice", "email" => "alice@mail.com"]);
?>

Lier des valeurs

Utilisez les méthodes bindParam() ou bindValue() pour lier des valeurs aux paramètres de substitution. Exemple :

<?php
  $stmt = $pdo->prepare("INSERT INTO users (name, email) VALUES (:name, :email)");
  $stmt->bindParam(":name", $name);
  $stmt->bindParam(":email", $email);

  $name = "Bob";
  $email = "bob@mail.com";
  $stmt->execute();
?>

Utiliser des requêtes préparées pour les requêtes SELECT

Les requêtes préparées fonctionnent avec tous les types de requêtes SQL, y compris SELECT. Exemple :

Astuce : Utilisez fetchAll() pour récupérer plusieurs lignes.

<?php
  $sql = "SELECT * FROM users WHERE name = :name";
  $stmt = $pdo->prepare($sql);
  $stmt->execute(["name" => "Alice"]);
  $result = $stmt->fetch(PDO::FETCH_ASSOC);

  echo "Name: " . $result["name"] . ", Email: " . $result["email"];
?>

Réutiliser les requêtes préparées

Les requêtes préparées peuvent être réutilisées avec différentes valeurs, ce qui améliore l'efficacité. Exemple :

<?php
  $stmt = $pdo->prepare("INSERT INTO users (name, email) VALUES (:name, :email)");

  $users = [
    ["name" => "Charlie", "email" => "charlie@mail.com"],
    ["name" => "Dave", "email" => "dave@mail.com"]
  ];

  foreach ($users as $user) {
    $stmt->execute($user);
  }

  echo "Multiple records inserted successfully!";
?>

Prévenir les injections SQL

Les requêtes préparées échappent les caractères spéciaux des données saisies par les utilisateurs, ce qui empêche les attaques par injection SQL. Exemple :

<?php
  $sql = "SELECT * FROM users WHERE email = :email";
  $stmt = $pdo->prepare($sql);
  $stmt->execute(["email" => "' OR 1=1; --"]);
  $result = $stmt->fetch();

  if ($result) {
    echo "User found.";
  } else {
    echo "No user found.";
  }
?>

Bravo !

Félicitations ! Vous avez appris à utiliser les requêtes préparées en PHP pour sécuriser vos interactions avec la base de données. Dans la prochaine leçon, nous explorerons des techniques avancées d'interrogation avec les jointures et les agrégations. Continuons à coder !