我对mysqli中的prepare
和query
完全不了解。
这个使用mysqli::query
来处理查询,并且已知缺乏安全性:
public function fetch_assoc($query)
{
$result = parent::query($query);
//$result = self::preparedStatement($query);
if($result)
{
return $result->fetch_assoc();
}
else
{
# call the get_error function
return self::get_error();
# or:
# return $this->get_error();
}
}
这是具有prepare-bind-execute的那个,我假设它具有更好的安全性,
public function fetch_assoc_stmt($sql,$types = null,$params = null)
{
# create a prepared statement
$stmt = parent::prepare($sql);
# bind parameters for markers
# but this is not dynamic enough...
//$stmt->bind_param("s", $parameter);
if($types&&$params)
{
$bind_names[] = $types;
for ($i=0; $i<count($params);$i++)
{
$bind_name = 'bind' . $i;
$$bind_name = $params[$i];
$bind_names[] = &$$bind_name;
}
$return = call_user_func_array(array($stmt,'bind_param'),$bind_names);
}
# execute query
$stmt->execute();
# these lines of code below return one dimentional array, similar to mysqli::fetch_assoc()
$meta = $stmt->result_metadata();
while ($field = $meta->fetch_field()) {
$var = $field->name;
$$var = null;
$parameters[$field->name] = &$$var;
}
call_user_func_array(array($stmt, 'bind_result'), $parameters);
while($stmt->fetch())
{
return $parameters;
}
# close statement
$stmt->close();
}
但是,这两种方法都返回相同的结果,
$mysqli = new database(DB_HOST,DB_USER,DB_PASS,DB_NAME);
$sql = "
SELECT *
FROM root_contacts_cfm
ORDER BY cnt_id DESC
";
print_r($mysqli->fetch_assoc_stmt($sql));
print_r($mysqli->fetch_assoc($sql));
他们打印出来:
Array
(
[cnt_id] => 2
[cnt_email1] => lau@xx.net
[cnt_email2] =>
[cnt_fullname] => Lau T
[cnt_firstname] => Thiam
[cnt_lastname] => Lau
[cnt_organisation] =>
[cnt_website] =>
[cnt_biography] =>
[cnt_gender] =>
[cnt_birthday] =>
[cnt_address] =>
[cnt_postcode] =>
[cnt_telephone] =>
[cnt_note] =>
[cnt_key] =>
[cat_id] =>
[tcc_id] =>
[cnt_suspended] => 0
[cnt_created] => 2011-02-04 00:00:00
[cnt_updated] => 2011-02-04 13:54:36
)
Array
(
[cnt_id] => 2
[cnt_email1] => lau@xx.net
[cnt_email2] =>
[cnt_fullname] => Lau T
[cnt_firstname] => Thiam
[cnt_lastname] => Lau
[cnt_organisation] =>
[cnt_website] =>
[cnt_biography] =>
[cnt_gender] =>
[cnt_birthday] =>
[cnt_address] =>
[cnt_postcode] =>
[cnt_telephone] =>
[cnt_note] =>
[cnt_key] =>
[cat_id] =>
[tcc_id] =>
[cnt_suspended] => 0
[cnt_created] => 2011-02-04 00:00:00
[cnt_updated] => 2011-02-04 13:54:36
)
您应该注意到fetch_assoc_stmt
方法内部根本不使用fetch_assoc
。可能根本没有机会使用它,prepare
使用不同的方式返回结果。
所以,我的问题是,因为使用prepare
比query
更好,为什么fetch_assoc
应该存在?我们不应该忘记它或不应该php.net已弃用? fetch_all
也一样 - 为什么我们首先应该拥有它!??
感谢。
答案 0 :(得分:22)
当您使用参数动态生成查询时,预准备语句优于纯SQL查询。在您的示例中,您的SQL不包含任何变量,因此使用普通查询或预准备语句在功能上是等效的。
当您必须更改参数值时,例如,在WHERE
子句中,准备好的语句将为您提供额外的安全性:
...
WHERE col1 = ? AND col2 = ?
但是,当您的查询很简单并且已修复时,可能需要较少的代码才能使用$mysqli->query($sql)
和fetch_assoc()
。使用直接查询而不是准备好的语句并不是一种普遍不好的做法,因为有些人可能会相信。当您的查询需要参数化,或者必须重复编译和执行相同的查询时,您将从准备好的语句中受益。
答案 1 :(得分:0)
很抱歉这不是一个答案,但我还不够实际发表评论。
您的第二个功能看起来有一个错误。对于返回多行的查询,您的代码将无法正常运行。该退货声明不应该是:
while($stmt->fetch()) {
//to dereference
$row_copy = $parameters;
$return_array[] = $row_copy;
}
然后该函数应以:
结束return $return_array;