Плохо ли динамически подготовленные операторы?(с PHP + mysqli)
-
03-07-2019 - |
Вопрос
Мне нравится гибкость динамического SQL, а также безопасность и улучшенная производительность подготовленных операторов.Итак, что мне действительно нужно, так это динамические подготовленные операторы, которые сложно сделать, потому что связывание_парам и связывание_результат принимают «фиксированное» количество аргументов.Поэтому я воспользовался оператором eval(), чтобы обойти эту проблему.Но у меня такое ощущение, что это плохая идея.Вот пример кода того, что я имею в виду
// array of WHERE conditions
$param = array('customer_id'=>1, 'qty'=>'2');
$stmt = $mysqli->stmt_init();
$types = ''; $bindParam = array(); $where = ''; $count = 0;
// build the dynamic sql and param bind conditions
foreach($param as $key=>$val)
{
$types .= 'i';
$bindParam[] = '$p'.$count.'=$param["'.$key.'"]';
$where .= "$key = ? AND ";
$count++;
}
// prepare the query -- SELECT * FROM t1 WHERE customer_id = ? AND qty = ?
$sql = "SELECT * FROM t1 WHERE ".substr($where, 0, strlen($where)-4);
$stmt->prepare($sql);
// assemble the bind_param command
$command = '$stmt->bind_param($types, '.implode(', ', $bindParam).');';
// evaluate the command -- $stmt->bind_param($types,$p0=$param["customer_id"],$p1=$param["qty"]);
eval($command);
Является ли последнее утверждение eval() плохой идеей?Я пытался избежать внедрения кода, инкапсулируя значения за именем переменной $param.
Есть ли у кого-нибудь мнение или другие предложения?Есть ли проблемы, о которых мне нужно знать?
Решение
Я думаю, что использовать опасно eval()
здесь.
Попробуй это:
- перебрать массив параметров, чтобы построить строку SQL с вопросительными знаками
"SELECT * FROM t1 WHERE p1 = ? AND p2 = ?"
- вызов
prepare()
на том - использовать
call_user_func_array()
позвонить вbind_param()
, передавая массив динамических параметров.
Код:
call_user_func_array(array($stmt, 'bind_param'), array($types)+$param);
Другие советы
Я создал функцию фильтра, которая получает массив в виде ассоциативного массива, например $_GET:
В классе модели я определил несколько свойств, включая схему:
private $table_name = "products";
protected $schema = [
'id' => 'INT',
'name' => 'STR',
'description' => 'STR',
'size' => 'STR',
'cost' => 'INT',
'active' => 'BOOL'
];
Затем метод фильтра, который получает ассоциативные массивы условий:
function filter($conditions)
{
$vars = array_keys($conditions);
$values = array_values($conditions);
$where = '';
foreach($vars as $ix => $var){
$where .= "$var = :$var AND ";
}
$where =trim(substr($where, 0, strrpos( $where, 'AND ')));
$q = "SELECT * FROM {$this->table_name} WHERE $where";
$st = $this->conn->prepare($q);
foreach($values as $ix => $val){
$st->bindValue(":{$vars[$ix]}", $val, constant("PDO::PARAM_{$this->schema[$vars[$ix]]}"));
}
$st->execute();
return $st->fetchAll(PDO::FETCH_ASSOC);
}
И отлично работает для фильтрации результатов
На самом деле вам не нужны подготовленные операторы и связанные аргументы, потому что вы всегда можете использовать mysql_real_escape_string().И ты прав;динамически генерируемый SQL гораздо более гибок и ценен.
Вот простой пример использования обычного интерфейса mysql_*:
// Array of WHERE conditions
$conds = array("customer_id" => 1, "qty" => 2);
$wherec = array("1");
foreach ($conds as $col=>$val) $wherec[] = sprintf("`%s` = '%s'", $col, mysql_real_escape_string($val));
$result_set = mysql_query("SELECT * FROM t1 WHERE " . implode(" AND ", $wherec);
Конечно, это упрощенный пример, и чтобы сделать его полезным, вам придется его много дорабатывать и дорабатывать, но он показывает идеи и действительно очень и очень полезен.Например, вот полностью универсальная функция для вставки новой строки в произвольную таблицу со столбцами, заполненными значениями из ассоциативного массива и полностью безопасная для SQL-инъекций:
function insert($table, $record) {
$cols = array();
$vals = array();
foreach (array_keys($record) as $col) $cols[] = sprintf("`%s`", $col);
foreach (array_values($record) as $val) $vals[] = sprintf("'%s'", mysql_real_escape_string($val));
mysql_query(sprintf("INSERT INTO `%s`(%s) VALUES(%s)", $table, implode(", ", $cols), implode(", ", $vals)));
}
// Use as follows:
insert("customer", array("customer_id" => 15, "qty" => 86));