वेरिएबल बाइंडिंग के बारे में थोड़ा सा (तैयार स्टेटमेंट)

अगर मुझे नॉन-स्केलेबल ओरेकल एप्लिकेशन बनाने के तरीके पर एक किताब लिखना था, तो इसका पहला और एकमात्र अध्याय "डोन्ट यूज़ बाउंड वेरिएबल्स" शीर्षक होगा।
टॉम काइट, ओरेकल के उपाध्यक्ष

हाल ही में, अलेक्जेंडरपीएचपी से एक लेख “शुरुआती लोगों के लिए एसक्यूएल इंजेक्शन। भाग 1 ”। इसकी सामग्री और इस पर टिप्पणी के अनुसार, ऐसा लग सकता है कि कई डेवलपर्स को पता नहीं है कि चर क्या हैं, क्यों उन्हें इस्तेमाल किया जाना चाहिए, और वे क्या फायदे देते हैं। मैं इस लेख में इन मुद्दों पर थोड़ा प्रकाश डालने की कोशिश करूंगा।

बिंद वेरिएबल्स को परिभाषित करना

, prepared statements, ( ; , ) — SQL- , SQL-. , :
insert into someTable(name) values(‘’);
, ? -, insert , 90% ORM; ( '') — . , , ():

$request = sql_prepare('insert into table(name) values(:1)');
/*  insert into someTable(name) values(?);*/
sql_execute($request, Array(''));

, (:1, :2,...) . , , .
insert into someTable(name) values(‘’);, , .

:
1. — , .
2. , .
3. SQL-.
.
— :

$request = sql_prepare('insert into table(name) values(:1)');
sql_execute($request, Array(''));
sql_execute($request, Array(''));
sql_execute($request, Array(''));
sql_execute($request, Array(''));

SQL- , , — .

, SQL-. , SQL- - , , . — , , . , — «» ( , ). (, , MySQL ), «» . , SQL- — . 1 — , , — . :

sql_execute("insert into table(name) values('')");
sql_execute("insert into table(name) values('')");
sql_execute("insert into table(name) values('')");
sql_execute("insert into table(name) values('')");

( ), . , «» .

. — SQL- ( , , )? ( ), prepared statements – «» sql_execute (mysql_real_query, ),
, sql_execute, . . prepared statement – . , . , , , . ( MySQL C API, PostgreSQL C library).

: — PHP PDO , SQL- . ( StackOverflow):

$dbConnection = new PDO('mysql:dbname=dbtest;host=127.0.0.1;charset=utf8', 'user', 'pass');
$dbConnection->setAttribute(PDO::ATTR_EMULATE_PREPARES, false);
$dbConnection->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);

— , . . . ( — ).
, - ; , . Robert');drop table students;, , — , , .

, :

Rhaps107
mysql_real_escape_string? - ?

— mysql_real_escape_string , . . (, «» , , - ), .

@m_z21
PDO ORM . pdo , sql-.

ORM – . PDO ( MySQLi) , SQL injection , .

@VolCh21
(, ), . . mysql_* libmysql, mysqli/pdo ?

. mysqli::prepare — MySQL. , PHP. , ( ) , . « ».

, - , (prepared statements). , , . , , - , .

---

1. http://stackoverflow.com/questions/60174/best-way-to-prevent-sql-injection-in-php — StackOverflow.
2. https://www.owasp.org/index.php/Preventing_SQL_Injection_in_Java — Java.
3. . Oracle . — .