⑴ php 普通sql語句，處理成預處理語句
PHP MySQL 預處理語句
預處理語句對於防止 MySQL 注入是非常有用的。
預處理語句及綁定參數
預處理語句用於執行多個相同的 SQL 語句，並且執行效率更高。
預處理語句的工作原理如下：
預處理：創建 SQL 語句模板並發送到資料庫。預留的值使用參數 "?" 標記 。例如：
INSERT
INTO MyGuests (firstname, lastname, email) VALUES(?, ?, ?)
資料庫解析，編譯，對SQL語句模板執行查詢優化，並存儲結果不輸出。
執行：最後，將應用綁定的值傳遞給參數（"?" 標記），資料庫執行語句。應用可以多次執行語句，如果參數的值不一樣。
相比於直接執行SQL語句，預處理語句有兩個主要優點：
預處理語句大大減少了分析時間，只做了一次查詢（雖然語句多次執行）。
綁定參數減少了伺服器帶寬，你只需要發送查詢的參數，而不是整個語句。
預處理語句針對SQL注入是非常有用的，因為參數值發送後使用不同的協議，保證了數據的合法性。
MySQLi 預處理語句
以下實例在 MySQLi 中使用了預處理語句，並綁定了相應的參數:
實例 (MySQLi 使用預處理語句)
<?php
$servername = "localhost";
$username = "username";
$password = "password";
$dbname = "myDB";
// 創建連接
$conn = new mysqli($servername, $username, $password, $dbname);
// 檢測連接
if ($conn->connect_error) {
die("連接失敗: " . $conn->connect_error);
}
// 預處理及綁定
$stmt = $conn->prepare("INSERT INTO MyGuests (firstname, lastname, email) VALUES(?, ?, ?)");
$stmt->bind_param("sss", $firstname, $lastname, $email);
// 設置參數並執行
$firstname = "John";
$lastname = "Doe";
$email = "[email protected]";
$stmt->execute();
$firstname = "Mary";
$lastname = "Moe";
$email = "[email protected]";
$stmt->execute();
$firstname = "Julie";
$lastname = "Dooley";
$email = "[email protected]";
$stmt->execute();
echo "新記錄插入成功";
$stmt->close();
$conn->close();
?>
解析以下實例的每行代碼:
"INSERT INTO MyGuests (firstname, lastname, email) VALUES(?, ?, ?)"
在 SQL 語句中，我們使用了問號 (?)，在此我們可以將問號替換為整型，字元串，雙精度浮點型和布爾值。
接下來，讓我們來看下 bind_param() 函數：
$stmt->bind_param("sss", $firstname, $lastname, $email);
該函數綁定了 SQL 的參數，且告訴資料庫參數的值。 "sss" 參數列處理其餘參數的數據類型。s 字元告訴資料庫該參數為字元串。
參數有以下四種類型:
i - integer（整型）
d - double（雙精度浮點型）
s - string（字元串）
b - BLOB（binary large object:二進制大對象）
每個參數都需要指定類型。
通過告訴資料庫參數的數據類型，可以降低 SQL 注入的風險。
注意： 如果你想插入其他數據（用戶輸入），對數據的驗證是非常重要的。
PDO 中的預處理語句
以下實例我們在 PDO 中使用了預處理語句並綁定參數:
實例 (PDO 使用預處理語句)
<?php
$servername = "localhost";
$username = "username";
$password = "password";
$dbname = "myDBPDO";
try {
$conn = new PDO("mysql:host=$servername;dbname=$dbname", $username, $password);
// 設置 PDO 錯誤模式為異常
$conn->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);
// 預處理 SQL 並綁定參數
$stmt = $conn->prepare("INSERT INTO MyGuests (firstname, lastname, email)
VALUES (:firstname, :lastname, :email)");
$stmt->bindParam(':firstname', $firstname);
$stmt->bindParam(':lastname', $lastname);
$stmt->bindParam(':email', $email);
// 插入行
$firstname = "John";
$lastname = "Doe";
$email = "[email protected]";
$stmt->execute();
// 插入其他行
$firstname = "Mary";
$lastname = "Moe";
$email = "[email protected]";
$stmt->execute();
// 插入其他行
$firstname = "Julie";
$lastname = "Dooley";
$email = "[email protected]";
$stmt->execute();
echo "新記錄插入成功";
}
catch(PDOException $e)
{
echo $sql . "<br>" . $e->getMessage();
}
$conn = null;
?>
⑵ php 中寫 sql語句
php中利用數組用mysql_query批量執行sql語句。
參考示例如下：
思路：這里採用一個數組.用explode
函數,將$query語句按照」;」炸開，然後循環執行即可：
$query
=
'delete
from
ecs_goods_attr
where
attr_id=11
and
goods_id=22;
insert
into
ecs_goods_attr
(goods_attr_id,goods_id,attr_id,attr_value,attr_price)values(null,33,138,"膽略",0);
update
ecs_goods
set
goods_number=10,shop_price=55
where
goods_id=33;'
$query_e
=
explode(';','$query');
foreach
($query_e
as
$k
=>$v)
{
mysql_query($query_e[$k]);
}
這樣
$query語句就被批量的執行了。