在“WHERE column =?”中MySQL中问号的意义是什么?

我正在解剖一些代码,碰到这个,

$sql = 'SELECT page.*, author.name AS author, updator.name AS updator ' . 'FROM '.TABLE_PREFIX.'page AS page ' . 'LEFT JOIN '.TABLE_PREFIX.'user AS author ON author.id = page.created_by_id ' . 'LEFT JOIN '.TABLE_PREFIX.'user AS updator ON updator.id = page.updated_by_id ' . 'WHERE slug = ? AND parent_id = ? AND (status_id='.Page::STATUS_REVIEWED.' OR status_id='.Page::STATUS_PUBLISHED.' OR status_id='.Page::STATUS_HIDDEN.')'; 

我在想什么“?” 在WHERE语句中。 它是某种参数持有者吗?

4 Solutions collect form web for “在“WHERE column =?”中MySQL中问号的意义是什么?”

编写的语句使用“?” 在MySQL中允许绑定参数的声明。 高度重视,如果使用得当,更安全的SQL注入。 这也允许更快的SQL查询,因为请求只需编译一次即可重用。

问号表示稍后将被replace的参数。 使用参数化查询比将参数直接embedded查询更安全。

SQL Server调用这个参数化查询,而Oracle调用它绑定variables。

用法因您执行查询的语言而异。

这里是一个如何使用PHP的例子。

假设$mysqli是一个数据库连接,而people是一个有4列的表。

 $stmt = $mysqli->prepare("INSERT INTO People VALUES (?, ?, ?, ?)"); $stmt->bind_param('sssd', $firstName, $lastName, $email, $age); 

'sssd'是标识其余参数的标志,其中s代表string, d代表数字。

没有

? 对MySQL的WHERE =子句没有任何意义,只对几个外部接口如PHP stdlib和像Rails这样的Web框架有效。

? 只是一个语法错误:

 CREATE TABLE t (s CHAR(1)); SELECT * FROM t WHERE s = ?; 

因为它没有被引用,并且在:

 INSERT INTO t VALUES ('a'); INSERT INTO t VALUES ("?"); SELECT * FROM t WHERE s = '?'; 

它返回:

 s ? 

因此显然没有特别的意义。

Rails的例子

例如,在Rails中,问号由库的编程语言(Ruby)的variables给出的参数代替,例如:

 Table.where("column = ?", "value") 

并自动引用参数以避免错误和SQL注入,生成一个像这样的语句:

 SELECT * FROM Table WHERE column = 'value'; 

引用可以拯救我们,例如:

 Table.where("column = ?", "; INJECTION") 

MySQL 5.0准备好的语句

MySQL 5.0在web框架中添加了与问号具有相似语义的预编译语句function 。

来自文档的示例:

 PREPARE stmt1 FROM 'SELECT SQRT(POW(?,2) + POW(?,2)) AS hypotenuse'; SET @a = 3; SET @b = 4; EXECUTE stmt1 USING @a, @b; 

输出:

 hypotenuse 5 

如预期的那样,

 PREPARE stmt1 FROM 'SELECT ? AS s'; SET @a = "'"; EXECUTE stmt1 USING @a; 

输出:

 s ' 

这些是准备好的陈述,准备好的陈述提供了两大好处:

查询只需要parsing(或准备)一次,但可以用相同或不同的参数多次执行。 查询准备好后,数据库将分析,编译和优化执行查询的计划。 对于复杂的查询,如果需要用不同的参数多次重复相同的查询,那么这个过程会花费足够的时间,以至于会明显地减慢应用程序的速度。 通过使用准备好的语句,应用程序避免重复分析/编译/优化循环。 这意味着准备好的语句使用更less的资源,从而运行得更快。

准备报表的参数不需要引用; 驱动程序自动处理这个。 如果一个应用程序独占地使用了准备好的语句,那么开发人员可以确保不会发生SQL注入(但是,如果查询的其他部分正在使用非转义input构build,则SQL注入仍然是可能的)。

http://php.net/manual/en/pdo.prepared-statements.php

  • 如何重置或更改MySQL根密码?
  • 什么是保持多语言数据的最佳数据库结构?
  • 我如何插入多个行到MySQL表中并返回新的ID?
  • PHP myAdmin - 更改字段顺序(上移或下移)
  • 你如何设置MySQLdate时间列的默认值?
  • 使用PHP存储在MySQL数据库中的IP地址
  • SQL顺序string作为数字
  • 为什么MySQL允许“group by”查询WITHOUT聚合函数?
  • 使用echo命令通过shell脚本自动执行mysql_secure_installation
  • 如何停止mysqld
  • 在MySQL中有两个单列索引与一个两列索引?