php - 我什么时候应该使用准备好的语句？

Question

我想知道，我可以只使用一次准备好的语句吗？

这是我的脚本:

$stm = $db->prepare("UPDATE
                     qanda AS ans1
                     JOIN qanda AS ans2 ON ans2.related = ans1.related
                     JOIN qanda AS ques ON ans2.related = ques.id
                     SET ans1.acceptedanswer = 1,
                         ans1.aadate = IF( ans1.id <> ?, ans1.aadate, ?)
                     WHERE ques.author_id = ? AND ans2.author_id = ? 
                                        ");
$stm->execute(array($answer_id, time(), $_SESSION["Id"], $author_id));
$done = $stm->rowCount();

if ($done){
    /* I don't use prepared statement here */
    $stm1 = $db->prepare("UPDATE user SET rep = rep + 15 WHERE id = $author_id");
    $stm1->execute();
}

如您所见，我没有为第二个查询使用准备好的语句。因为我是为第一个查询做的，如果第一个查询有效，那么我确定参数是有效的并且不需要通过准备好的语句来绑定(bind)它们。

请不要问我为什么你不想对第二个查询使用准备好的语句，因为原因太长了。

那么我这样做是对的吗？没有安全问题吗？

Answer 1

直接的回答是:是的，你可以。

原因实际上取决于您，因为无论何时传递值，使用准备好的语句无论如何都是一种好习惯。

还要考虑到，如果您不绑定(bind)任何参数，使用 query() 方法更有意义，只是明确说明您不打算绑定(bind)任何参数。所以你的第二个查询是

$stm1 = $db->query("UPDATE user SET rep = rep + 15 WHERE id = $author_id");

(参见 http://php.net/manual/en/pdo.query.php)

代替

$stm1 = $db->prepare("UPDATE user SET rep = rep + 15 WHERE id = $author_id");
$stm1->execute();

此外，您提到了动态查询，但这不是您的示例代码的情况。不管怎样，我会给你一个例子，说明两个如何在动态生成的查询上使用准备好的语句。

这是一个愚蠢的例子，但应该足以给你一个想法。

假设我们有一些值可以更新“email”、“date_of_birth”和“website”。假设我们想在插入数据之前对这些数据进行一些检查。我会假装我们已经有一个 valid() 函数。

    $dynamic_sql = array();
    $parameters[':date_of_bird'] = $date_of_birth;

    if(valid($email)) {
        $dynamic_sql['email_sql'] = "email = :email";
        $parameters[':email'] = $email;

    }
    if(valid($website)) {
        $dynamic_sql['website_sql'] = "website = :website";
        $parameters[':website'] = $website;
    }

    if(count($dynamic_sql)>0) {
        $dynamic_sql = ','.implode($dynamic_sql);
    }

    $query = "UPDATE user
    SET date_of_birth = :date_of_birth $dynamic_sql
    WHERE
    user_id = :user_id";

    $stm = $db->prepare($query);
    $stm->execute($parameters);

这种方法将允许您继续使用准备好的语句以及动态生成的 SQL。