PHP prakticky/Vkládání parametrů: Porovnání verzí

Nejlepší cestou vkládání parametrů jsou '''prepared statements'''. Podporují je různé knihovny databázové abstrakce, od verze PHP5 pak hlavně PDO.

 

// pro jednoduché parametry stačí poziční parametr a hodnota předaná přímo v execute()

$stmt = $db->prepare("SELECT * FROM tabulka WHERE id=?");

$s = $db->prepare('SELECT * FROM tabulka WHERE foo IN ('.implode(',', array_fill(0, count($values), '?')).')');

$s->execute($values);

 

Pokud nejsou '''prepared statements''' k dispozici, je třeba hodnoty správně ošetřit. Číselné hodnoty přetypovat, řetezcové hodnoty escapovat.

 

$query = sprintf("SELECT * FROM tabulka WHERE cislo=%d AND retezec=%s",

'012 OR 1',

);

echo $query; // vytiskne SELECT * FROM tabulka WHERE cislo=12 AND retezec='\' OR 1'

 

[[Kategorie:PHP prakticky|Vkládání parametrů]]