预处理 insert php,SQL注入防御之三——SQL语句预处理（PHP）

许多成熟的数据库都支持预处理语句(Prepared Statements)的概念。它们是什么东西？你可以把它们想成是一种编译过的要执行的SQL语句模板，可以使用不同的变量参数定制它。预处理语句的参数不需要使用引号，底层驱动会为你处理这个。如果你的应用独占地使用预处理语句，你就可以确信没有SQL注入会发生。

概述

预处理语句用于执行多个相同的 SQL 语句，并且执行效率更高。

预处理语句的工作原理如下：

预处理：创建 SQL 语句模板并发送到数据库。预留的值使用参数 “?” 标记 。例如：

INSERT

INTO MyGuests (firstname, lastname, email) VALUES(?, ?, ?)

数据库解析，编译，对SQL语句模板执行查询优化，并存储结果不输出。执行：最后，将应用绑定的值传递给参数(”?” 标记)，数据库执行语句。应用可以多次执行语句，如果参数的值不一样。

相比于直接执行SQL语句，预处理语句有两个主要优点：

预处理语句大大减少了分析时间，只做了一次查询(虽然语句多次执行)。绑定参数减少了服务器带宽，你只需要发送查询的参数，而不是整个语句。预处理语句针对SQL注入是非常有用的，因为参数值发送后使用不同的协议，保证了数据的合法性。

而在PHP当中，使用预处理语句主要有两种方法：

使用mysqli数据库使用PDOStatement类对象

准备

分析之前我们先来查看PDOStatement类中的全部成员方法如下所示：

PDOStatement::bindColumn — 绑定一列到一个 PHP 变量

PDOStatement::bindParam — 绑定一个参数到指定的变量名

PDOStatement::bindValue — 把一个值绑定到一个参数

PDOStatement::closeCursor — 关闭游标，使语句能再次被执行。

PDOStatement::columnCount — 返回结果集中的列数

PDOStatement::debugDumpParams — 打印一条 SQL 预处理命令

PDOStatement::errorCode — 获取跟上一次语句句柄操作相关的 SQLSTATE

PDOStatement::errorInfo — 获取跟上一次语句句柄操作相关的扩展错误信息

PDOStatement::execute — 执行一条预处理语句

PDOStatement::fetch — 从结果集中获取下一行

PDOStatement::fetchAll — 返回一个包含结果集中所有行的数组

PDOStatement::fetchColumn — 从结果集中的下一行返回单独的一列。

PDOStatement::fetchObject — 获取下一行并作为一个对象返回。

PDOStatement::getAttribute — 检索一个语句属性

PDOStatement::getColumnMeta — 返回结果集中一列的元数据

PDOStatement::nextRowset — 在一个多行集语句句柄中推进到下一个行集

PDOStatement::rowCount — 返回受上一个 SQL 语句影响的行数

PDOStatement::setAttribute — 设置一个语句属性

PDOStatement::setFetchMode — 为语句设置默认的获取模式。

分析

MySQLi 预处理语句

以下实例在 MySQLi 中使用了预处理语句，并绑定了相应的参数:

$servername = "localhost";

$username = "username";

$password = "password";

$dbname = "myDB";

// 创建连接

$conn = new mysqli($servername, $username, $password, $dbname);

// 检测连接

if ($conn->connect_error) {

die("连接失败: " . $conn->connect_error);

}

// 预处理及绑定

$stmt = $conn->prepare("INSERT INTO MyGuests (firstname, lastname, email) VALUES(?, ?, ?)");

$stmt->bind_param("sss", $firstname, $lastname, $email);

// 设置参数并执行

$firstname = "John";

$lastname = "Doe";

$email = "john@example.com";

$stmt->execute();

$firstname = "Mary";

$lastname = "Moe";

$email = "mary@example.com";

$stmt->execute();

$firstname = "Julie";

$lastname = "Dooley";

$email = "julie@example.com";

$stmt->execute();

echo "新记录插入成功";

$stmt->close();

$conn->close();

?>

解析以下实例的每行代码:

"INSERT INTO MyGuests (firstname, lastname, email) VALUES(?, ?, ?)"

在 SQL 语句中，我们使用了问号 (?)，在此我们可以将问号替换为整型，字符串，双精度浮点型和布尔值。

接下来，让我们来看下 bind_param() 函数：

$stmt->bind_param("sss", $firstname, $lastname, $email);

该函数绑定了 SQL 的参数，且告诉数据库参数的值。 “sss” 参数列处理其余参数的数据类型。s 字符告诉数据库该参数为字符串。

参数有以下四种类型:

i - integer(整型)

d - double(双精度浮点型)

s - string(字符串)

b - BLOB(binary large object:二进制大对象)

每个参数都需要指定类型。

通过告诉数据库参数的数据类型，可以降低 SQL 注入的风险。

PDO Statement类对象预处理语句

1.准备语句：

重复执行一个SQL查询，通过每次迭代使用不同的参数，这种情况使用预处理语句运行效率最高。使用预处理语句，首先需要在数据库服务器中先准备好“一个SQL语句”，但并不需要马上执行。PDO支持使用“占位符”语法，将变量绑定到这个预处理的SQL语句中。对于一个准备好的SQL语句，如果在每次执行时都要改变一些列值，这种情况必须使用“占位符号”而不是具体的列值。在PDO中有两种使用占位符的语法：“命名参数”和“问号参数”，使用哪一种语法要看个人的喜好。

使用命名参数作为占位符的INSERT插入语句：

$dbh->prepare(“insert into contactinfo(name,address,phone) values(:name,:address,:phone)”);

需要自定义一个字符串作为“命名参数”，每个命名参数需要冒号(：)开始，参数的命名一定要有意义，最好和对应的字段名称相同。  使用问号(?)参数作为占位符的INSERT插入语句：

$dbh->prepare(“insert into contactinfo(name,address,phone) values(?,?,?)”);

问号参数一定要和字段的位置顺序对应。不管是使用哪一种参数作为占位符构成的查询，或是语句中没有用到占位符，都需要使用PDO对象中的prepare()方法，去准备这个将要用于迭代执行的查询，并返回PDOStatement类对象。

2.绑定参数:

当SQL语句通过PDO对象中的prepare()方法在数据库服务器端准备好了以后，如果使用了占位符，就需要在每次执行时替换输入的参数。可以通过PDOStatement对象中的bindParam()方法，把参数变量绑定到准备好的占位符上(位置或名字要对应)。方法bindParame()的原型如下所示：

bool PDOStatement::bindParam ( mixed $parameter , mixed &$variable [, int $data_type = PDO::PARAM_STR [, int $length [, mixed $driver_options ]]] )

第一个参数parameter是必选项，如果在准备好的查询中占位符语法使用名字参数，那么将名字参数字符串作为bindParam()方法的第一个参数提供。如果占位符语法使用问号参数，那么将准备好的查询中列值占位符的索引偏移量，作为该方法的第一个参数。

第二个参数variable也是可选项，提供供给第一个参数所指定占位符的值。因为该参数是按引用传递的，所以只能提供变量作为参数，不能直接提供数值。

第三个参数data_type是可选项，为当前被绑定的参数设置数据类型。可以为以下值。

PDO::PARAM_BOOL 代表boolean数据类型。

PDO::PARAM_NULL 代表SQL中的NULL类型。

PDO::PARAM_INT 代表SQL中的INTEGER数据类型。

PDO::PARAM_STR 代表SQL中的CHAR、VARCHAR和其他字符串数据类型。

PDO::PARAM_LOB 代表SQL中大对象数据类型。

第四个参数length是可选项，用于指定数据类型的长度。

第五个参数driver_options是可选项，通过该参数提供任何数据库驱动程序特定的选项。   使用命名参数作为占位符的参数绑定示例：

//...省略PDO连接数据库代码

$query = "insert into contactinfo (name,address,phone) values(:name,:address,:phone)";

$stmt = $dbh->prepare($query);          //调用PDO对象中的prepare()方法

$stmt->blinparam(':name',$name);        //将变量$name的引用绑定到准备好的查询名字参数":name"中

$stmt->blinparam(':address',$address);

$stmt->blinparam(':phone',phone);

//...

?>

使用问号(？)作为占位符的参数绑定示例：

//...省略PDO连接数据库代码

$query = "insert into contactinfo (name,address,phone) values(?,?,?)";

$stmt = $dbh->prepare($query);          //调用PDO对象中的prepare()方法

$stmt->blinparam(1,$name,PDO::PARAM_STR);        //将变量$name的引用绑定到准备好的查询名字参数":name"中

$stmt->blinparam(2,$address,PDO::PARAM_STR);

$stmt->blinparam(3,phone,PDO::PARAM_STR,20);

//...

?>

3.执行准备语句:

当准备语句完成，并绑定了相应的参数后，就可以通过调用PDOStatement类对象中的execute()方法，反复执行在数据库缓存区准备好的语句了。在下面的示例中，向前面提供的contactinfo表中，使用预处理方式连续执行同一个INSERT语句，通过改变不同的参数添加两条记录。如下所示：

try {

$dbh = new PDO('mysql:dbname=testdb;host=localhost', $username, $passwd);

}catch (PDOException $e){

echo '数据库连接失败：'.$e->getMessage();

exit;

}

$query = "insert into contactinfo (name,address,phone) values(?,?,?)";

$stmt = $dbh->prepare($query);

$stmt->blinparam(1,$name);

$stmt->blinparam(2,$address);

$stmt->blinparam(3,phone);

$name = "赵某某";

$address = "海淀区中关村";

$phone = "15801688348";

$stmt->execute();           //执行参数被绑定后的准备语句

?>

如果你只是要传递输入参数，并且有许多这样的参数要传递，那么你会觉得下面所示的快捷方式语法非常有帮助。是通过在execute()方法中提供一个可选参数，该参数是由准备查询中的命名参数占位符组成的数组，这是第二种为预处理查询在执行中替换输入参数的方式。此语法使你能够省去对$stmt->bindParam()的调用。将上面的示例做如下修改：

//...省略PDO连接数据库代码

$query = "insert into contactinfo (name,address,phone) values(?,?,?)";

$stmt = $dbh->prepare($query);

//传递一个数组为预处理查询中的命名参数绑定值，并执行一次。

$stmt->execute(array("赵某某","海淀区","15801688348"));

?>

另外，如果执行的是INSERT语句，并且数据表中有自动增长的ID字段，可以使用PDO对象中的lastinsertId()方法获取最后插入数据表中的记录ID。如果需要查看其他DML语句是否执行成功，可以通过PDOStatement类对象中的rowCount()方法获取影响记录的行数。

总结

预处理语句的参数不需要使用引号，底层驱动会为你处理这个。如果你的应用独占地使用预处理语句，你就可以确信没有SQL注入会发生。   查询只需要被解析(或准备)一次，但可以使用相同或不同的参数执行多次。当查询准备好(Prepared)之后，数据库就会分析，编译并优化它要执行查询的计划。对于复杂查询来说，如果你要重复执行许多次有不同参数的但结构相同的查询，这个过程会占用大量的时间，使得你的应用变慢。通过使用一个预处理语句你就可以避免重复分析、编译、优化的环节。简单来说，预处理语句使用更少的资源，执行速度也就更快。