Подготовленные запросы

Добро пожаловать на следующий урок! На этом уроке вы узнаете о подготовленных запросах и о том, как они делают взаимодействие с базой данных безопасным и эффективным. Начнём!

Что такое подготовленные запросы?

Подготовленные запросы — это функция систем управления базами данных, которая позволяет безопасно и эффективно выполнять SQL-запросы. Они отделяют код SQL от данных и предотвращают атаки с помощью SQL-инъекций.

Пример: использование заполнителей (:name, :email) вместо непосредственной вставки пользовательских данных в запрос.

Зачем использовать подготовленные запросы?

Подготовленные запросы имеют несколько преимуществ:

• Безопасность: предотвращают SQL-инъекции благодаря экранированию пользовательских данных.
• Эффективность: позволяют повторно использовать один и тот же запрос с разными данными, сокращая время разбора запроса.
• Удобство сопровождения: делают код более понятным и упрощают его отладку.

Главное: всегда используйте подготовленные запросы при работе с данными, предоставленными пользователем.

Создание подготовленного запроса

Чтобы создать подготовленный запрос, выполните следующие шаги:

1. Напишите SQL-запрос с заполнителями.
2. Подготовьте запрос с помощью соединения с базой данных.
3. Привяжите значения к заполнителям.
4. Выполните запрос.

Пример:

Совет: используйте ассоциативные массивы для удобной привязки значений.

<?php
  $sql = "INSERT INTO users (name, email) VALUES (:name, :email)";
  $stmt = $pdo->prepare($sql);
  $stmt->execute(["name" => "Alice", "email" => "alice@mail.com"]);
?>

Привязка значений

Используйте методы bindParam() или bindValue(), чтобы привязывать значения к заполнителям. Пример:

<?php
  $stmt = $pdo->prepare("INSERT INTO users (name, email) VALUES (:name, :email)");
  $stmt->bindParam(":name", $name);
  $stmt->bindParam(":email", $email);

  $name = "Bob";
  $email = "bob@mail.com";
  $stmt->execute();
?>

Использование подготовленных запросов для запросов SELECT

Подготовленные запросы работают со всеми типами SQL-запросов, включая SELECT. Пример:

Совет: используйте fetchAll(), чтобы получать несколько строк.

<?php
  $sql = "SELECT * FROM users WHERE name = :name";
  $stmt = $pdo->prepare($sql);
  $stmt->execute(["name" => "Alice"]);
  $result = $stmt->fetch(PDO::FETCH_ASSOC);

  echo "Name: " . $result["name"] . ", Email: " . $result["email"];
?>

Повторное использование подготовленных запросов

Подготовленные запросы можно повторно использовать с разными значениями, повышая эффективность. Пример:

<?php
  $stmt = $pdo->prepare("INSERT INTO users (name, email) VALUES (:name, :email)");

  $users = [
    ["name" => "Charlie", "email" => "charlie@mail.com"],
    ["name" => "Dave", "email" => "dave@mail.com"]
  ];

  foreach ($users as $user) {
    $stmt->execute($user);
  }

  echo "Multiple records inserted successfully!";
?>

Предотвращение SQL-инъекций

Подготовленные запросы экранируют специальные символы в пользовательских данных и предотвращают атаки с помощью SQL-инъекций. Пример:

<?php
  $sql = "SELECT * FROM users WHERE email = :email";
  $stmt = $pdo->prepare($sql);
  $stmt->execute(["email" => "' OR 1=1; --"]);
  $result = $stmt->fetch();

  if ($result) {
    echo "User found.";
  } else {
    echo "No user found.";
  }
?>

Отличная работа!

Поздравляем! Вы научились использовать подготовленные запросы в PHP для защиты взаимодействия с базой данных. В следующем уроке мы рассмотрим расширенные методы составления запросов с объединением таблиц и агрегированием. Продолжайте программировать!