[英]PHP UPDATE prepared statement
我正在尝试学习使用准备好的语句来避免 SQL 注入等的正确方法。
当我执行脚本时,我从脚本中收到一条消息,说 0 行已插入,我希望这会说 1 行已插入,当然还要更新表。 我不完全确定我准备好的声明,因为我已经做了一些研究,我的意思是它因示例而异。
当我更新我的表时,我需要声明所有字段还是只更新一个字段就可以了??
任何信息都会非常有帮助。
索引.php
<div id="status"></div>
<div id="maincontent">
<?php //get data from database.
require("classes/class.Scripts.inc");
$insert = new Scripts();
$insert->read();
$insert->update();?>
<form action="index2.php" enctype="multipart/form-data" method="post" name="update" id="update">
<textarea name="content" id="content" class="detail" spellcheck="true" placeholder="Insert article here"></textarea>
<input type="submit" id="update" name="update" value="update" />
</div>
类/class.Scripts.inc
public function update() {
if (isset($_POST['update'])) {
$stmt = $this->mysqli->prepare("UPDATE datadump SET content=? WHERE id=?");
$id = 1;
/* Bind our params */
$stmt->bind_param('is', $id, $content);
/* Set our params */
$content = isset($_POST['content']) ? $this->mysqli->real_escape_string($_POST['content']) : '';
/* Execute the prepared Statement */
$stmt->execute();
printf("%d Row inserted.\n", $stmt->affected_rows);
}
}
$stmt = $this->mysqli->prepare("UPDATE datadump SET content=? WHERE id=?");
/* BK: always check whether the prepare() succeeded */
if ($stmt === false) {
trigger_error($this->mysqli->error, E_USER_ERROR);
return;
}
$id = 1;
/* Bind our params */
/* BK: variables must be bound in the same order as the params in your SQL.
* Some people prefer PDO because it supports named parameter. */
$stmt->bind_param('si', $content, $id);
/* Set our params */
/* BK: No need to use escaping when using parameters, in fact, you must not,
* because you'll get literal '\' characters in your content. */
$content = $_POST['content'] ?: '';
/* Execute the prepared Statement */
$status = $stmt->execute();
/* BK: always check whether the execute() succeeded */
if ($status === false) {
trigger_error($stmt->error, E_USER_ERROR);
}
printf("%d Row inserted.\n", $stmt->affected_rows);
回复您的问题:
我从我的脚本中收到一条消息,说 0 行已插入
这是因为您在绑定参数时颠倒了参数的顺序。 因此,您正在 id 列中搜索 $content 的数值,该数值可能被解释为 0。因此 UPDATE 的 WHERE 子句匹配零行。
我需要声明所有字段还是只更新一个字段就可以了??
在 UPDATE 语句中只设置一列是可以的。 其他列不会改变。
事实上,准备好的语句并不像其他答案中显示的那样复杂。 恰恰相反,准备好的语句是执行查询的最简单和整洁的方式。 以你的情况为例。 你只需要三行代码!
$stmt = $this->mysqli->prepare("UPDATE datadump SET content=? WHERE id=?");
$stmt->bind_param('si', $content, $id);
$stmt->execute();
就像 1-2-3 一样简单!
请注意,手动检查每个函数的结果是很疯狂的,它只会使您的代码膨胀而没有任何好处。 相反,您应该将 mysqli 配置为一次自动报告错误。 为此,请在mysqli_connect()
/ new mysqli
之前添加以下行:
mysqli_report(MYSQLI_REPORT_ERROR | MYSQLI_REPORT_STRICT);
结果将与 trigger_error 几乎相同,但没有额外的一行代码! 如您所见,如果使用得当,代码可以非常简单和简洁。
我想清理 Bill Karwin 的精彩代码
$stmt = $this->mysqli->prepare("UPDATE datadump SET content=? WHERE id=?") or die ($this->mysqli->error);
$id = 1;
// Bind our params
// BK: variables must be bound in the same order as the params in your SQL.
// Some people prefer PDO because it supports named parameter.
$stmt->bind_param('si', $content, $id) or die ($stmt->error);
// Set our params
// BK: No need to use escaping when using parameters, in fact, you must not,
// because you'll get literal '\' characters in your content. */
$content = (string)$_POST['content'] ?: '';
/* Execute the prepared Statement */
$status = $stmt->execute() or die ($stmt->error);
printf("%d Row inserted.\n", $stmt->affected_rows);
我建议使用“or die”而不是 if 子句我建议强制变量类型取值:
// If id brings value: '12abc', PHP automatically stops it at 12
$id = (int)$_ POST ["id"];
声明:本站的技术帖子网页,遵循CC BY-SA 4.0协议,如果您需要转载,请注明本站网址或者原文地址。任何问题请咨询:yoyou2525@163.com.