Question

我目前正在使用弃用代码从用户那里获取数据，如下所示：

/* retrieve */
$lastName = $_POST['lastName']; 
$firstName = $_POST['firstName']; 
$examLevel=$_POST['level'];

/* connect */
$dbc=mysql_connect("localhost", "user", "passw") or die('Error connecting to MySQL server');
mysql_select_db("db") or die('Error selecting database.');

/* sanitize */
$lastName=mysql_real_escape_string($lastName);
$firstName=mysql_real_escape_string($firstName); 
$examLevel=mysql_real_escape_string($examLevel);


/* insert */
$query_personal = "INSERT INTO personal (LastName, FirstName) VALUES  ('$lastName', '$firstName')";

$query_exam = "INSERT INTO exam (Level, Centre, BackupCentre, etc.) VALUES ('$examLevel', '$centre', '$backup', 'etc')";

这是有效的，但我不断发现有关安全性和缺乏支持的警告。连接与mysqli而不是mysql的重写很小但是 mysqli_real_escape_string 呢？我已经看到它在示例中使用过，但我也看到过使用预处理语句的建议，而不是使用mysqli_real_escape_string。

我如何使用预准备语句来插入我的数据？到目前为止，我有点在海上。例如，仅针对INSERT的参数绑定和仅针对SELECT的结果绑定吗？

Answer 1

请参阅此页面以将mysql转换为mysqli

Converting_to_MySQLi

https://wikis.oracle.com/display/mysql/Converting+to+MySQLi

并查看mysqli_real_escape_string 手册，其中解释了mysqli_real_escape_string和安全问题以及如何解决问题。

php.net：

安全：默认字符集

必须在服务器级别或使用API函数mysqli_set_charset()设置字符集，以使其影响mysqli_real_escape_string（）。有关详细信息，请参阅character sets上的概念部分。

请参阅此页面以查询insert data

请参阅prepare data for inserting to mysql

的此页面

和http://php.net/manual/de/mysqli.quickstart.prepared-statements.php

Answer 2

将其转换为PDO

/* connect */
$dsn = "mysql:host=localhost;db=test;charset=utf8";
$opt = array(
    PDO::ATTR_ERRMODE            => PDO::ERRMODE_EXCEPTION,
    PDO::ATTR_DEFAULT_FETCH_MODE => PDO::FETCH_ASSOC
);
$pdo = new PDO($dsn,"user", "passw", $opt);


/* insert */
$query = "INSERT INTO personal (LastName, FirstName) VALUES  (?, ?)";
$stmt  = $pdo->prepare($query);
$stmt->execute(array($_POST['lastName'],$_POST['firstName']));

$query = "INSERT INTO exam (Level, Centre, BackupCentre, etc) VALUES (?, ?, ?, 'etc')";
$stmt  = $pdo->prepare($query);
$stmt->execute(array($_POST['level'], $centre, $backup));

如何从mysql_ 升级到mysqli_ ？

2 个答案:

如何从mysql_ *升级到mysqli_ *？

2 个答案:

如何从mysql_ 升级到mysqli_ ？