Hazırlanmış İfadeler

Sonraki derse hoş geldiniz! Bu derste hazırlanmış ifadeleri ve bunların veritabanı etkileşimlerinizi nasıl güvenli ve verimli hâle getirdiğini öğreneceksiniz. Başlayalım!

Hazırlanmış İfadeler Nelerdir?

Hazırlanmış ifadeler, SQL sorgularını güvenli ve verimli bir şekilde yürütmenizi sağlayan veritabanı yönetim sistemleri özelliğidir. SQL kodunu verilerden ayırarak SQL enjeksiyonu saldırılarını önler.

Örnek: Kullanıcı girdisini sorguya doğrudan yerleştirmek yerine yer tutucular (:name, :email) kullanmak.

Hazırlanmış İfadeler Neden Kullanılır?

Hazırlanmış ifadeler çeşitli avantajlar sunar:

• Güvenlik: Kullanıcı girdilerini güvenli biçimde işleyerek SQL enjeksiyonunu önler.
• Verimlilik: Aynı ifadeyi farklı verilerle yeniden kullanarak sorgu ayrıştırma süresini azaltır.
• Bakım Kolaylığı: Kodunuzu okumayı ve hata ayıklamayı kolaylaştırır.

Önemli Nokta: Kullanıcılar tarafından sağlanan verilerle etkileşim kurarken her zaman hazırlanmış ifadeler kullanın.

Hazırlanmış İfade Oluşturma

Hazırlanmış bir ifade oluşturmak için şu adımları izleyin:

1. Yer tutucular içeren SQL sorgusunu yazın.
2. Veritabanı bağlantısını kullanarak sorguyu hazırlayın.
3. Değerleri yer tutuculara bağlayın.
4. İfadeyi yürütün.

Örnek:

İpucu: Değerleri kolayca bağlamak için ilişkisel diziler kullanın.

<?php
  $sql = "INSERT INTO users (name, email) VALUES (:name, :email)";
  $stmt = $pdo->prepare($sql);
  $stmt->execute(["name" => "Alice", "email" => "alice@mail.com"]);
?>

Değerleri Bağlama

Değerleri yer tutuculara bağlamak için bindParam() veya bindValue() yöntemlerini kullanın. Örnek:

<?php
  $stmt = $pdo->prepare("INSERT INTO users (name, email) VALUES (:name, :email)");
  $stmt->bindParam(":name", $name);
  $stmt->bindParam(":email", $email);

  $name = "Bob";
  $email = "bob@mail.com";
  $stmt->execute();
?>

SELECT Sorguları için Hazırlanmış İfadeleri Kullanma

Hazırlanmış ifadeler, SELECT dâhil olmak üzere tüm SQL sorgusu türleriyle çalışır. Örnek:

İpucu: Birden fazla satır almak için fetchAll() kullanın.

<?php
  $sql = "SELECT * FROM users WHERE name = :name";
  $stmt = $pdo->prepare($sql);
  $stmt->execute(["name" => "Alice"]);
  $result = $stmt->fetch(PDO::FETCH_ASSOC);

  echo "Name: " . $result["name"] . ", Email: " . $result["email"];
?>

Hazırlanmış İfadeleri Yeniden Kullanma

Hazırlanmış ifadeler farklı değerlerle yeniden kullanılabilir ve bu da verimliliği artırır. Örnek:

<?php
  $stmt = $pdo->prepare("INSERT INTO users (name, email) VALUES (:name, :email)");

  $users = [
    ["name" => "Charlie", "email" => "charlie@mail.com"],
    ["name" => "Dave", "email" => "dave@mail.com"]
  ];

  foreach ($users as $user) {
    $stmt->execute($user);
  }

  echo "Multiple records inserted successfully!";
?>

SQL Enjeksiyonunu Önleme

Hazırlanmış ifadeler, kullanıcı girdilerindeki özel karakterleri güvenli biçimde işleyerek SQL enjeksiyonu saldırılarını önler. Örnek:

<?php
  $sql = "SELECT * FROM users WHERE email = :email";
  $stmt = $pdo->prepare($sql);
  $stmt->execute(["email" => "' OR 1=1; --"]);
  $result = $stmt->fetch();

  if ($result) {
    echo "User found.";
  } else {
    echo "No user found.";
  }
?>

Harika İş Çıkardınız!

Tebrikler! Veritabanı etkileşimlerinizi güvenli hâle getirmek için PHP'de hazırlanmış ifadeleri nasıl kullanacağınızı öğrendiniz. Sonraki derste JOIN işlemleri ve toplulaştırmalarla gelişmiş sorgulama tekniklerini inceleyeceğiz. Kod yazmaya devam edelim!