Zapytania przygotowane

Witamy w kolejnej lekcji! W tej lekcji poznają Państwo zapytania przygotowane oraz dowiedzą się, jak zwiększają one bezpieczeństwo i wydajność interakcji z bazą danych. Zacznijmy!

Czym są zapytania przygotowane?

Zapytania przygotowane to funkcja systemów zarządzania bazami danych, która umożliwia bezpieczne i wydajne wykonywanie zapytań SQL. Oddzielają one kod SQL od danych, zapobiegając atakom SQL injection.

Przykład: Używanie symboli zastępczych (:name, :email) zamiast bezpośredniego umieszczania danych użytkownika w zapytaniu.

Dlaczego warto używać zapytań przygotowanych?

Zapytania przygotowane oferują kilka korzyści:

• Bezpieczeństwo: Zapobiegają SQL injection, odpowiednio przetwarzając dane wejściowe użytkownika.
• Wydajność: Umożliwiają ponowne użycie tej samej instrukcji z różnymi danymi, skracając czas analizowania zapytania.
• Łatwiejsze utrzymanie: Sprawiają, że kod jest łatwiejszy do odczytania i debugowania.

Najważniejsza informacja: Podczas pracy z danymi dostarczonymi przez użytkownika zawsze należy używać zapytań przygotowanych.

Tworzenie zapytania przygotowanego

Aby utworzyć zapytanie przygotowane, należy wykonać następujące kroki:

1. Należy napisać zapytanie SQL z symbolami zastępczymi.
2. Należy przygotować zapytanie za pomocą połączenia z bazą danych.
3. Należy przypisać wartości do symboli zastępczych.
4. Należy wykonać instrukcję.

Przykład:

Wskazówka: Do łatwego przypisywania wartości należy używać tablic asocjacyjnych.

<?php
  $sql = "INSERT INTO users (name, email) VALUES (:name, :email)";
  $stmt = $pdo->prepare($sql);
  $stmt->execute(["name" => "Alice", "email" => "alice@mail.com"]);
?>

Przypisywanie wartości

Do przypisywania wartości do symboli zastępczych należy używać metod bindParam() lub bindValue(). Przykład:

<?php
  $stmt = $pdo->prepare("INSERT INTO users (name, email) VALUES (:name, :email)");
  $stmt->bindParam(":name", $name);
  $stmt->bindParam(":email", $email);

  $name = "Bob";
  $email = "bob@mail.com";
  $stmt->execute();
?>

Używanie zapytań przygotowanych dla zapytań SELECT

Zapytania przygotowane działają ze wszystkimi typami zapytań SQL, w tym z SELECT. Przykład:

Wskazówka: Do pobierania wielu wierszy należy używać fetchAll().

<?php
  $sql = "SELECT * FROM users WHERE name = :name";
  $stmt = $pdo->prepare($sql);
  $stmt->execute(["name" => "Alice"]);
  $result = $stmt->fetch(PDO::FETCH_ASSOC);

  echo "Name: " . $result["name"] . ", Email: " . $result["email"];
?>

Ponowne używanie zapytań przygotowanych

Zapytania przygotowane można ponownie wykorzystywać z różnymi wartościami, zwiększając wydajność. Przykład:

<?php
  $stmt = $pdo->prepare("INSERT INTO users (name, email) VALUES (:name, :email)");

  $users = [
    ["name" => "Charlie", "email" => "charlie@mail.com"],
    ["name" => "Dave", "email" => "dave@mail.com"]
  ];

  foreach ($users as $user) {
    $stmt->execute($user);
  }

  echo "Multiple records inserted successfully!";
?>

Zapobieganie SQL injection

Zapytania przygotowane zabezpieczają znaki specjalne w danych wejściowych użytkownika, zapobiegając atakom SQL injection. Przykład:

<?php
  $sql = "SELECT * FROM users WHERE email = :email";
  $stmt = $pdo->prepare($sql);
  $stmt->execute(["email" => "' OR 1=1; --"]);
  $result = $stmt->fetch();

  if ($result) {
    echo "User found.";
  } else {
    echo "No user found.";
  }
?>

Świetnie!

Gratulacje! Opanowali Państwo używanie zapytań przygotowanych w PHP do zabezpieczania interakcji z bazą danych. W następnej lekcji poznają Państwo zaawansowane techniki tworzenia zapytań z użyciem JOIN i agregacji. Programujmy dalej!