我知道这是一个PDO的MySQL类型的情况下..但我做的是建立PDO包装方法,在这种情况下,我做这个功能有助于构建字符串,因为我们使用的键,没有可能的方式来注入mysql,因为我知道我手动定义/接受的键。
想象这样的数据:
$data=array(
"name"=>$_GET["name"],
"email"=>$_GET["email"]
);
你定义utils的方法...
public static function serialize_type($obj,$mode){
$d2="";
if($mode=="insert"){
$d2.=" (".implode(",",array_keys($obj)).") ";
$d2.=" VALUES(";
foreach ($obj as $key=>$item){$d2.=":".$key.",";}
$d2=rtrim($d2,",").")";}
if($mode=="update"){
foreach ($obj as $key=>$item){$d2.=$key."=:".$key.",";}
}
return rtrim($d2,",");
}
那么查询绑定数组构造器(我可以使用直接序列参考,但可以简化):
public static function bind_build($array){
$query_array=$array;
foreach ($query_array as $key => $value) { $query_array[":".$key] = $query_array[$key]; unset($query_array[$key]); } //auto prepair array for PDO
return $query_array; }
然后你执行...
$query ="insert into table_x ".self::serialize_type($data, "insert");
$me->statement = @$me->dbh->prepare($query);
$me->result=$me->statement->execute(self::bind_build($data));
你也可以去更新容易...
$query ="update table_x set ".self::serialize_type($data, "update")." where id=:id";
$me->statement = @$me->dbh->prepare($query);
$data["id"]="123"; //add the id
$me->result=$me->statement->execute(self::bind_build($data));
但这里最重要的部分是serialize_type功能