Istruzioni preparate

Benvenuto alla prossima lezione! In questa lezione imparerà a conoscere le istruzioni preparate e come rendono sicure ed efficienti le interazioni con il database. Iniziamo!

Che cosa sono le istruzioni preparate?

Le istruzioni preparate sono una funzionalità dei sistemi di gestione dei database che consente di eseguire query SQL in modo sicuro ed efficiente. Separano il codice SQL dai dati, prevenendo gli attacchi di SQL injection.

Esempio: utilizzo di segnaposto (:name, :email) invece di inserire direttamente l'input dell'utente nella query.

Perché utilizzare le istruzioni preparate?

Le istruzioni preparate offrono diversi vantaggi:

• Sicurezza: prevengono gli attacchi di SQL injection eseguendo l'escape degli input dell'utente.
• Efficienza: consentono di riutilizzare la stessa istruzione con dati diversi, riducendo il tempo necessario per l'analisi della query.
• Manutenibilità: rendono il codice più facile da leggere e sottoporre a debug.

Punto chiave: utilizzi sempre istruzioni preparate quando interagisce con dati forniti dall'utente.

Creazione di un'istruzione preparata

Per creare un'istruzione preparata, segua questi passaggi:

1. Scriva la query SQL con i segnaposto.
2. Prepari la query utilizzando la connessione al database.
3. Associ i valori ai segnaposto.
4. Esegua l'istruzione.

Esempio:

Suggerimento: utilizzi array associativi per associare facilmente i valori.

<?php
  $sql = "INSERT INTO users (name, email) VALUES (:name, :email)";
  $stmt = $pdo->prepare($sql);
  $stmt->execute(["name" => "Alice", "email" => "alice@mail.com"]);
?>

Associazione dei valori

Utilizzi i metodi bindParam() o bindValue() per associare i valori ai segnaposto. Ecco un esempio:

<?php
  $stmt = $pdo->prepare("INSERT INTO users (name, email) VALUES (:name, :email)");
  $stmt->bindParam(":name", $name);
  $stmt->bindParam(":email", $email);

  $name = "Bob";
  $email = "bob@mail.com";
  $stmt->execute();
?>

Utilizzo delle istruzioni preparate per le query SELECT

Le istruzioni preparate funzionano con tutti i tipi di query SQL, inclusa SELECT. Ecco un esempio:

Suggerimento: utilizzi fetchAll() per recuperare più righe.

<?php
  $sql = "SELECT * FROM users WHERE name = :name";
  $stmt = $pdo->prepare($sql);
  $stmt->execute(["name" => "Alice"]);
  $result = $stmt->fetch(PDO::FETCH_ASSOC);

  echo "Name: " . $result["name"] . ", Email: " . $result["email"];
?>

Riutilizzo delle istruzioni preparate

Le istruzioni preparate possono essere riutilizzate con valori diversi, migliorando l'efficienza. Ecco un esempio:

<?php
  $stmt = $pdo->prepare("INSERT INTO users (name, email) VALUES (:name, :email)");

  $users = [
    ["name" => "Charlie", "email" => "charlie@mail.com"],
    ["name" => "Dave", "email" => "dave@mail.com"]
  ];

  foreach ($users as $user) {
    $stmt->execute($user);
  }

  echo "Multiple records inserted successfully!";
?>

Prevenzione degli attacchi di SQL injection

Le istruzioni preparate eseguono l'escape dei caratteri speciali negli input dell'utente, prevenendo gli attacchi di SQL injection. Ecco un esempio:

<?php
  $sql = "SELECT * FROM users WHERE email = :email";
  $stmt = $pdo->prepare($sql);
  $stmt->execute(["email" => "' OR 1=1; --"]);
  $result = $stmt->fetch();

  if ($result) {
    echo "User found.";
  } else {
    echo "No user found.";
  }
?>

Ottimo lavoro!

Congratulazioni! Ha imparato a utilizzare le istruzioni preparate in PHP per proteggere le interazioni con il database. Nella prossima lezione esploreremo tecniche avanzate di interrogazione con JOIN e aggregazioni. Continui a programmare!