欢迎您访问程序员文章站本站旨在为大家提供分享程序员计算机编程知识!
您现在的位置是: 首页  >  IT编程

PHP中的PDO操作学习(三)预处理类及绑定数据

程序员文章站 2022-03-20 15:42:58
要说 PDO 中最强大的功能,除了为不同的数据库提供了统一的接口之外,更重要的就是它的预处理能力,也就是 PDOStatement 所提供的功能。因为它的存在,才让我们可以安心地去使用而不用操心 SQL 语句的拼接不好所带来的安全风险问题。当然,预处理也为我们提升了语句的执行效率,可以说是 PDO ......

要说 pdo 中最强大的功能,除了为不同的数据库提供了统一的接口之外,更重要的就是它的预处理能力,也就是 pdostatement 所提供的功能。因为它的存在,才让我们可以安心地去使用而不用操心 sql 语句的拼接不好所带来的安全风险问题。当然,预处理也为我们提升了语句的执行效率,可以说是 pdo 的另一大杀器。

pdostatement 类

pdostatement 类其实就是代表一条预处理语句,并在该语句被执行后代表一个相关的结果集。它提供一些方法,让我们能够对这条预处理语句进行操作。

$dns = 'mysql:host=localhost;dbname=blog_test;port=3306;charset=utf8';
$pdo = new pdo($dns, 'root', '', [pdo::attr_errmode => pdo::errmode_exception]);

$stmt = $pdo->prepare("select * from zyblog_test_user");

// pdostatement 对象的内容
var_dump($stmt);
// object(pdostatement)#2 (1) {
//     ["querystring"]=>
//     string(57) "select * from zyblog_test_user where username = :username"
//   }

pdostatement 对象是通过 pdo 对象的 prepare() 方法返回的一个对象。它没有构造函数,也就是说我们不能直接实例化一个 pdostatement 对象。它包含一个只读属性,也就是我们要执行的 sql 语句,保存在 querystring 中。

pdostatement 错误处理

接下来我们先看看 pdostatement 的两个错误信息方法。

// 没有指定异常处理状态下的错误信息函数 
$pdo_no_exception = new pdo($dns, 'root', '');
$errstmt = $pdo_no_exception->prepare("select * from errtable");
$errstmt->execute();
var_dump($errstmt->errorcode()); // string(5) "42s02"
var_dump($errstmt->errorinfo());
// array(3) {
//     [0]=>
//     string(5) "42s02"
//     [1]=>
//     int(1146)
//     [2]=>
//     string(40) "table 'blog_test.errtable' doesn't exist"
//   }

在之前的文章中,我们学习过,如果不给 pdo 对象指定错误处理格式的话。它会使用返回错误码和错误信息的方式处理错误。在这种情况下,如果预处理的语句有问题,我们就可以通过 errorcode() 和 errorinfo() 方法来获得错误的代码和错误的详细信息。不过,还是更加推荐指定 pdo 的错误处理方式为抛出异常,就像最上面我们定义的 pdo 对象那样。这样我们就可以通过 try...catch 来处理错误异常了。

pdostatement fetch_mode 指定

// 为语句设置默认的获取模式。
$stmt->setfetchmode(pdo::fetch_assoc);
$stmt->execute();
while($row = $stmt->fetch(pdo::fetch_assoc)){
    var_dump($row);
}
// array(4) {
//     ["id"]=>
//     string(1) "1"
//     ["username"]=>
//     string(3) "aaa"
//     ["password"]=>
//     string(3) "aaa"
//     ["salt"]=>
//     string(3) "aaa"
//   }
// ……

为查询结构指定 fetch_mode 是通过 setfetchmode() 方法来实现的。之前我们也讲过,通过 pdo 对象的属性可以指定默认的查询结果集模式,不过在 pdostatement 中,也可以通过这个方法来为当前的这一次预处理语句的查询指定 fetch_mode 。

pdostatement 获取列数量及字段信息

// 返回结果集列数、返回结果集中一列的元数据
$stmt = $pdo->prepare("select * from zyblog_test_user");
$stmt->execute();
var_dump($stmt->columncount()); // int(4)
var_dump($stmt->getcolumnmeta(0)); 
// array(7) {
//     ["native_type"]=>
//     string(4) "long"
//     ["pdo_type"]=>
//     int(2)
//     ["flags"]=>
//     array(2) {
//       [0]=>
//       string(8) "not_null"
//       [1]=>
//       string(11) "primary_key"
//     }
//     ["table"]=>
//     string(16) "zyblog_test_user"
//     ["name"]=>
//     string(2) "id"
//     ["len"]=>
//     int(11)
//     ["precision"]=>
//     int(0)
//   }

columncount() 可以返回我们当前查询结果集中的列的数量。关于行的数量获得的方法我们将在下篇文章中再介绍。

getcolumnmeta() 方法则是获取结果集中一列的元数据,它的参数是列的序号,从 1 开始的序号,在这里我们获取的是第一列,也就是 id 列的信息。从打印的结果,可以看到这个列的名称、精确度(precisiion)、长度、类型、所属的表名、属性(主键、非空)这些信息。是不是感觉非常有用。不过这个方法是实验性质的,有可能在未来的 php 版本中进行修改,不是正式的固定方法。而且并不是所有数据库连接驱动都支持这个方法。

pdostatement 打印出一条预处理语句包含的信息

$stmt = $pdo->prepare("select * from zyblog_test_user where username=? and salt = ?");
$username = 'aaa';
$stmt->bindparam(1, $username, pdo::param_str);
$stmt->bindvalue(2, 'aaa', pdo::param_str);
$stmt->execute();
var_dump($stmt->debugdumpparams()); 
// sql: [60] select * from zyblog_test_user where username=? and salt = ?
// sent sql: [68] select * from zyblog_test_user where username='aaa' and salt = 'aaa'
// params:  2
// key: position #0:
// paramno=0
// name=[0] ""
// is_param=1
// param_type=2
// key: position #1:
// paramno=1
// name=[0] ""
// is_param=1
// param_type=2

debugdumpparams() 也是很好玩的一个方法,它直接打印出当前执行的 sql 语句的信息,注意,它和 var_dump() 、 php_info() 这类函数一样,是直接打印的,不是将结果返回到一个变量中。还记得我们怎么将这种函数的内容保存到变量中吗?还搞不懂php中的输出缓冲控制?

从打印的结果来看,它能返回真实执行的 sql 语句以及相关的一些参数信息。对于日常的开发调试来说绝对是一个神器啊。很多小伙伴都会受困于 pdo 预处理的语句如果获取到真实的执行语句。而这个方法只需要我们简单的封装一下,就可以从里面提取出真实的执行语句了哦!

两个 mysql 扩展不支持的属性

// mysql 驱动不支持 setattribute
$stmt->setattribute(pdo::attr_cursor, pdo::cursor_fwdonly);
// fatal error: uncaught pdoexception: sqlstate[im001]: driver does not support this function: this driver doesn't support setting attributes

// mysql 驱动不支持 getattribute
var_dump($stmt->getattribute(pdo::attr_autocommit));
// fatal error: uncaught pdoexception: sqlstate[im001]: driver does not support this function: this driver doesn't support getting attributes 

这两个方法对于 mysql 扩展驱动来说是不支持的,但是有其它的数据库是支持的,笔者没有测试过其它数据库,大家可以自行测试一下。

绑定字段

接下来就是重点内容了,在预处理语句中,我们可以使用占位符来绑定变量,从而达到安全处理查询语句的作用。通过占位符,我们就不用去自己拼装处理带单引号的字段内容了,从而避免了 sql 注入的发生。注意,这里并不是可以处理所有的 sql 注入问题,比如字符集问题的 宽字节 注入 。

占位符包含两种形式,一种是使用 :xxx 这种形式的名称占位符,: 后面的内容可以是自己定义的一个名称。另一种形式就是使用问号占位符,当使用问号占位符的时候,我们绑定的是字段的下标,下标是从 1 开始的,这点是需要注意的地方。我们直接通过示例来看看。

bindparam

$stmt = $pdo->prepare("insert into zyblog_test_user(username, password, salt) values(:username, :pass, :salt)");

$username = 'ccc';
$passwrod = '333';
$salt = 'c3';

$stmt->bindparam(':username', $username);
$stmt->bindparam(':pass', $password);
$stmt->bindparam(':salt', $salt);

$stmt->execute();

// bindparam 问号占位符
$stmt = $pdo->prepare("insert into zyblog_test_user(username, password, salt) values(?, ?, ?)");

$username = 'ccc';
$passwrod = '333';
$salt = 'c3';

$stmt->bindparam(1, $username);
$stmt->bindparam(2, $password);
$stmt->bindparam(3, $salt);

$stmt->execute();

在这段代码中,我们分别使用了两种形式的占位符来实现了数据的插入。当然,预处理语句和占位符是任何操作语句都可以使用的。它的作用就是用绑定的值来替换语句中的占位符所在位置的内容。不过它只是使用在 values 、 set 、 where 、 order by 、 group by 、 having 这些条件及对字段的操作中,有兴趣的同学可以试试用占位符来表示一个表名会是什么结果。

bindparam() 方法是绑定一个参数到指定的变量名。在这个方法中,绑定的变量是作为引用被绑定,并且只能是一个变量,不能直接给一个常量。这点我们在后面讲和 bindvalue() 的区别时再详细讲解。一些驱动支持调用存储过程的输入/输出操作,也可以使用这个方法来绑定,我们将在后面的文章中讲解。

bindvalue

$stmt = $pdo->prepare("insert into zyblog_test_user(username, password, salt) values(:username, :pass, :salt)");

$username = 'ddd';
$passwrod = '444';
$salt = 'd4';

$stmt->bindvalue(':username', $username);
$stmt->bindvalue(':pass', $password);
$stmt->bindvalue(':salt', $salt);

$stmt->execute();

咦?它的用法和 bindparam() 一样呀?没错,它们的作用也是一样的,绑定一个参数到值。注意,这里是绑定到值,而 bindparam() 是绑定到变量。在正常情况下,你可以将它们看作是一样的操作,但是,其实它们有很大的不同,我们直接就来看它们的区别。

bindparam 和 bindvalue 的区别

首先,bindvalue() 是可以绑定常量的。

$stmt = $pdo->prepare("select * from zyblog_test_user where username = :username");

//$stmt->bindparam(':username', 'ccc');
// fatal error: uncaught error: cannot pass parameter 2 by reference

$stmt->bindvalue(':username', 'ccc');

$stmt->execute();
while($row = $stmt->fetch(pdo::fetch_assoc)){
    var_dump($row);
}
// array(4) {
//     ["id"]=>
//     string(2) "19"
//     ["username"]=>
//     string(3) "ccc"
//     ["password"]=>
//     string(3) "bbb"
//     ["salt"]=>
//     string(2) "c3"
//   }
// ……

如果我们使用 bindparam() 来指定第二个参数值为常量的话,它会直接报错。bindparam() 的第二个参数是作为引用类型的变量,不能指定为一个常量。

其次,因为bindparam() 是以引用方式绑定,它的变量内容是可变的,所以在任何位置定义绑定的变量都不影响它的预处理,而 bindvalue() 是定义后就立即将参数进行绑定的,所以下面的代码使用 bindvalue() 是无法获得结果的($username 在 bindvalue() 之后才赋值)。

$stmt = $pdo->prepare("select * from zyblog_test_user where username = :username");

$stmt->bindvalue(':username', $username);
$username = 'ccc';

$stmt->execute();
while($row = $stmt->fetch(pdo::fetch_assoc)){
    var_dump($row);
}
// 

必须要保证变量在 bindvalue() 之前被赋值。

$username = 'ccc';
$stmt->bindvalue(':username', $username);

当然,bindparam() 就不存在这样的问题了,我们可以在 bindparam() 之后再给它指定的变量赋值。

$stmt = $pdo->prepare("select * from zyblog_test_user where username = :username");

$stmt->bindparam(':username', $username);
$username = 'ddd';

$stmt->execute();
while($row = $stmt->fetch(pdo::fetch_assoc)){
    var_dump($row);
}
// array(4) {
//     ["id"]=>
//     string(1) "8"
//     ["username"]=>
//     string(3) "ddd"
//     ["password"]=>
//     string(3) "bbb"
//     ["salt"]=>
//     string(2) "d4"
//   }
//   ……

这下对 bindparam() 和 bindvalue() 的区别就非常清楚了吧?总结一下:

  • bindparam() 必须绑定变量,变量是引用形式的参数,只要在 execute() 之前完成绑定都可以

  • bindvalue() 可以绑定常量,如果是绑定的变量,那么变量赋值要在 bindvalue() 语句执行之前完成,否则绑定的就是一个空的数据

bindcolumn

这个方法是用于绑定查询结果集的内容的。我们可以将查询结果集中指定的列绑定到一个特定的变量中,这样就可以在 fetch() 或 fetchall() 遍历结果集时通过变量来得到列的值。

这个方法在实际应用中用到的比较少,所以很多小伙伴可能是只闻其名不见其身。我们还是通过代码来看看。

$stmt = $pdo->prepare("select * from zyblog_test_user");

$stmt->execute();

$stmt->bindcolumn(1, $id);
$stmt->bindcolumn(2, $username, pdo::param_str);
$stmt->bindcolumn("password", $password);
$stmt->bindcolumn("salt", $salt, pdo::param_int); // 指定类型强转成了 int 类型

// 不存在的字段
// $stmt->bindcolumn(5, $t); 
//fatal error: uncaught pdoexception: sqlstate[hy000]: general error: invalid column index

while($row = $stmt->fetch(pdo::fetch_bound)){
    $data = [
        'id'=>$id,
        'username'=>$username,
        'password'=>$password,
        'salt'=>$salt,
    ];
    var_dump($data);
}
// array(4) {
//     ["id"]=>
//     string(1) "1"
//     ["username"]=>
//     string(3) "aaa"
//     ["password"]=>
//     string(3) "aaa"
//     ["salt"]=>
//     int(0)
//   }
//   array(4) {
//     ["id"]=>
//     string(1) "2"
//     ["username"]=>
//     string(3) "bbb"
//     ["password"]=>
//     string(3) "bbb"
//     ["salt"]=>
//     int(123)
//   }
// ……

// 外部获取变量就是最后一条数据的信息
$data = [
    'id'=>$id,
    'username'=>$username,
    'password'=>$password,
    'salt'=>$salt,
];
print_r($data);
// array
// (
//     [id] => 2
//     [username] => bbb
//     [password] => bbb
//     [salt] => bbb
// )

在代码中,我们使用的是 * 来获得的查询结果集。然后就可以通过问号占位符或者列名来将列绑定到变量中。接着在 fetch() 的遍历过程中,就可以通过变量直接获取每一条数据的相关列的值。需要注意的是,为变量赋值的作用域仅限于在执行 fetch() 方法之后。从代码的结构中我们就可以看出,bindcolumn() 方法对于变量也是作为引用的方式绑定到 pdostatement 对象内部的,所以 fetch() 在处理的时候就直接为这些变量赋上了值。

bindcloumn() 方法后面的参数是可选的字段类型,这个参数在 bindparam() 和 bindvalue() 中都是存在的,也都是可选的。如果获取的类型和我们绑定时定义的类型不同,那么 pdostatement 就会强转为绑定时指定的类型。例如上面例子中我们将本身为 varchar 类型的 salt 字段强转为 int 类型之后就输出的都是 int 类型了。除了这个参数之外,还有一些其它可选的参数,大家可以自行查阅相关的文档。

fetch() 循环结束后,变量中依然保留着最后一行结果集的内容。所以在使用的时候要注意如果外部有其它地方使用这些变量的话,是否需要重新赋值或者清理掉它们。

execute 直接传递参数

最后,如果我们不想这么麻烦地去绑定字段或者变量,也可以直接在 execute() 方法中直接传递参数,它是类似于 bindvalue() 的形式进行字段绑定的。

$stmt = $pdo->prepare("insert into zyblog_test_user(username, password, salt) values(:username, :pass, :salt)");
$stmt->execute([
    ':username'=>'jjj',
    ':pass'=>'888',
    ':salt'=>'j8'
]);
// 使用问号占位符的话是按从0开始的下标
$stmt = $pdo->prepare("insert into zyblog_test_user(username, password, salt) values(?, ?, ?)");
$stmt->execute(['jjjj','8888','j8']);

execute() 的这个绑定参数是一个数组,在使用问号占位符的时候需要注意,在这里,按数组的下标来说,它们是从 0 开始算位置的。

另外需要注意的是,pdostatement 对象的操作都是使用 execute() 方法来进行语句执行的。这个方法只会返回一个布尔值,也就是成功或者失败。不像 pdo 对象的 exec() 方法返回的是受影响的条数。如果是查询类的语句,我们需要在 execute() 之后调用 fetch() 之类的方法遍历结果集。而增、删、改之类的操作,则需要通过 rowcount() 来获得返回的执行结果条数。相关的内容我们也将在之后的文章一起详细讲解。

总结

划重点的时刻又到咯!今天我们学习的主要是 pdostatement 对象的一些不太常用但很好玩的方法,另外就是占位符绑定的问题。其中最主要的就是 bindparam() 和 bindvalue() 的区别。下篇文章我们主要就是要学习 pdostatement 中的查询相关的操作,这个可不能丢呀,大家一定不要迟到!

测试代码:

https://github.com/zhangyue0503/dev-blog/blob/master/php/202009/source/php%e4%b8%ad%e7%9a%84pdo%e6%93%8d%e4%bd%9c%e5%ad%a6%e4%b9%a0%ef%bc%88%e4%b8%89%ef%bc%89%e9%a2%84%e5%a4%84%e7%90%86%e7%b1%bb%e5%8f%8a%e7%bb%91%e5%ae%9a%e6%95%b0%e6%8d%ae.php

参考文档:

===============

关注公众号:【硬核项目经理】获取最新文章

添加微信/qq好友:【xiaoyuezigonggong/149844827】免费得php、项目管理学习资料

知乎、公众号、抖音、头条搜索【硬核项目经理】

b站id:482780532