php PDO 学习笔记

PDO(PHP Data Object) 是PHP 5新出来的东西，在PHP 6都要出来的时候，PHP 6只默认使用PDO来处理数据库，将把所有的数据库扩展移到了PECL，那么默认就是没有了我们喜爱的php_mysql.dll之类的了，那怎么办捏，我们只有与时俱进了，我就小试了一把PDO。（本文只是入门级的，高手可以略过，呵呵）

【PDO是啥】

PDO是PHP 5新加入的一个重大功能，因为在PHP 5以前的php4/php3都是一堆的数据库扩展来跟各个数据库的连接和处理，什么 php_mysql.dll、php_pgsql.dll、php_mssql.dll、php_sqlite.dll等等扩展来连接MySQL、PostgreSQL、MS SQL Server、SQLite，同样的，我们必须借助 ADOdb、PEAR::DB、PHPlib::DB之类的数据库抽象类来帮助我们，无比烦琐和低效，毕竟，php代码的效率怎么能够我们直接用C/C++写的扩展斜率高捏？所以嘛，PDO的出现是必然的，大家要平静学习的心态去接受使用，也许你会发现能够减少你不少功夫哦。

 

简单的不说，先来看看他的预处理语句

尽管exec方法和查询在PHP中仍然被大量使用和支持，但是PHP官网上还是要求大家用预处理语句的方式来替代。为什么呢？主要是因为：它更安全。预处理语句不会直接在实际查询中插入参数，这就避免了许多潜在的SQL注入。

然而出于某种原因，PDO实际上并没有真正的使用预处理，它是在模拟预处理方式，在将语句传给SQL服务器之前会把参数数据插入到语句中，这使得某些系统容易受到SQL注入。

如果你的SQL服务器不真正的支持预处理,我们可以很容易的通过如下方式在PDO初始化时传参来修复这个问题:

比如你有一个sql 语句 如下： $statement = $db->prepare('SELECT * FROM foods WHERE `name`=? AND `healthy`=?');

你有如下几种方式去绑定变量 

$statement ->bindValue(1,  'Cake' );

$statement ->bindValue(2, true);

 

$statement2 ->bindValue( ':name' ,  'Pie' );

$statement2 ->bindValue( ':healthy' , false);

 

当然也可以把一个数组作为参数传递给execute函数

$statement ->execute( array (1 =>  'Cake' , 2 => true));

$statement2 ->execute( array ( ':name' =>  'Pie' ,  ':healthy' => false));

 

最后附上一段execute函数的官方文档

PDOStatement::execute

public bool PDOStatement::execute ([ array $input_parameters ] )

Execute the prepared statement. If the prepared statement included parameter markers, you must either:

• call PDOStatement::bindParam() to bind PHP variables to the parameter markers: bound variables pass their value as input and receive the output value, if any, of their associated parameter markers

• or pass an array of input-only parameter value

 

转载于:https://www.cnblogs.com/jasonjing/p/4494730.html