Pernyataan Terkompilasi

Pernyataan Terparameterisasi

Selamat datang di pelajaran berikutnya! Dalam pelajaran ini, Anda akan mempelajari pernyataan terparameterisasi dan cara pernyataan tersebut membuat interaksi Anda dengan basis data menjadi aman dan efisien. Mari kita mulai!

Pernyataan terparameterisasi adalah fitur sistem manajemen basis data yang memungkinkan Anda menjalankan kueri SQL dengan aman dan efisien. Pernyataan ini memisahkan kode SQL dari data sehingga mencegah serangan injeksi SQL.

Contoh: Menggunakan penanda tempat (:name, :email) alih-alih menyisipkan masukan pengguna secara langsung ke dalam kueri.

Pernyataan terparameterisasi memberikan beberapa manfaat:

• Keamanan: Mencegah injeksi SQL dengan meloloskan karakter khusus dalam masukan pengguna.
• Efisiensi: Menggunakan kembali pernyataan yang sama dengan data berbeda sehingga mengurangi waktu penguraian kueri.
• Kemudahan Pemeliharaan: Membuat kode lebih mudah dibaca dan ditelusuri kesalahannya.

Poin Penting: Selalu gunakan pernyataan terparameterisasi saat berinteraksi dengan data yang diberikan pengguna.

Untuk membuat pernyataan terparameterisasi, ikuti langkah-langkah berikut:

1. Tulis kueri SQL dengan penanda tempat.
2. Siapkan kueri menggunakan koneksi basis data.
3. Ikat nilai ke penanda tempat.
4. Jalankan pernyataan tersebut.

Contoh:

Tips: Gunakan larik asosiatif untuk mengikat nilai dengan mudah.

<?php
  $sql = "INSERT INTO users (name, email) VALUES (:name, :email)";
  $stmt = $pdo->prepare($sql);
  $stmt->execute(["name" => "Alice", "email" => "alice@mail.com"]);
?>

Gunakan metode bindParam() atau bindValue() untuk mengikat nilai ke penanda tempat. Contoh:

<?php
  $stmt = $pdo->prepare("INSERT INTO users (name, email) VALUES (:name, :email)");
  $stmt->bindParam(":name", $name);
  $stmt->bindParam(":email", $email);

  $name = "Bob";
  $email = "bob@mail.com";
  $stmt->execute();
?>

Pernyataan terparameterisasi dapat digunakan dengan semua jenis kueri SQL, termasuk SELECT. Contoh:

Tips: Gunakan fetchAll() untuk mengambil beberapa baris.

<?php
  $sql = "SELECT * FROM users WHERE name = :name";
  $stmt = $pdo->prepare($sql);
  $stmt->execute(["name" => "Alice"]);
  $result = $stmt->fetch(PDO::FETCH_ASSOC);

  echo "Name: " . $result["name"] . ", Email: " . $result["email"];
?>

Pernyataan terparameterisasi dapat digunakan kembali dengan nilai yang berbeda sehingga meningkatkan efisiensi. Contoh:

<?php
  $stmt = $pdo->prepare("INSERT INTO users (name, email) VALUES (:name, :email)");

  $users = [
    ["name" => "Charlie", "email" => "charlie@mail.com"],
    ["name" => "Dave", "email" => "dave@mail.com"]
  ];

  foreach ($users as $user) {
    $stmt->execute($user);
  }

  echo "Multiple records inserted successfully!";
?>

Pernyataan terparameterisasi menangani karakter khusus dalam masukan pengguna sehingga mencegah serangan injeksi SQL. Contoh:

<?php
  $sql = "SELECT * FROM users WHERE email = :email";
  $stmt = $pdo->prepare($sql);
  $stmt->execute(["email" => "' OR 1=1; --"]);
  $result = $stmt->fetch();

  if ($result) {
    echo "User found.";
  } else {
    echo "No user found.";
  }
?>

Selamat! Anda telah mempelajari cara menggunakan pernyataan terparameterisasi dalam PHP untuk mengamankan interaksi dengan basis data. Dalam pelajaran berikutnya, kita akan mempelajari teknik kueri tingkat lanjut dengan penggabungan dan agregasi. Mari terus menulis kode!