14.php数据库抽象层PDO(三)

迷南。 2022-08-22 06:24 201阅读 0赞

> PDO提供了一种名为预处理语句的机制，它可以将整个SQL命令向数据库服务器发送一次。以后只有参数发生变化，数据库服务器只需对命令的结构做一次分析就够了，即编译一次，可以多次执行。会在服务器上缓存查询的语句和执行过程，而只在服务器和客户端之间传输有变化的列植，以此来消除这些额外的开销。不仅可以减少需要传输的数据量，还提高了命令的处理效率。可以有效防止SQL注入，在执行单个查询时快于直接使用query()/exec()的方法，速度快而且安全。

--------------------

# 1. PDOStatement对象 #

PDOStatement对象是由PDO对象中的prepare()方法，在数据库服务器中准备好一个预处理的SQL语句后直接返回的。PDO对象中的query()方法返回的PDOStatement类对象，只代表的是一个结果集对象。而如果通过执行PDO对象中的prepare()方法产生的PDOStatement类对象，则为一个查询对象，能定义和执行参数化的SQL命令。

## <table>   <thead>    <tr>     <th align="left">方法名</th>     <th align="left">描述</th>    </tr>   </thead>   <tbody>    <tr>     <td align="left">bindColumn()</td>     <td align="left">用来匹配列名和一个特定的变量名，这样每次获取各行记录时，会自动将相应的列值赋给该变量</td>    </tr>    <tr>     <td align="left">bindParam()</td>     <td align="left">将参数绑定到相应的查询占位符上</td>    </tr>    <tr>     <td align="left">bindValue()</td>     <td align="left">将一值绑定到对应的一个参数中</td>    </tr>    <tr>     <td align="left">closeCursor()</td>     <td align="left">关闭游标,使该声明再次被执行</td>    </tr>    <tr>     <td align="left">columnCount()</td>     <td align="left">在结果集中返回列的数目</td>    </tr>    <tr>     <td align="left">errorCode()</td>     <td align="left">获取错误码</td>    </tr>    <tr>     <td align="left">errorInfo()</td>     <td align="left">获取错误的信息</td>    </tr>    <tr>     <td align="left">execute()</td>     <td align="left">负责执行一个准备好的预处理查询</td>    </tr>    <tr>     <td align="left">fetch()</td>     <td align="left">返回结果集的下一行，当到达结果集末尾时返回false</td>    </tr>    <tr>     <td align="left">fetchAll()</td>     <td align="left">通过一次调用就可以获取结果集中的所有行，并赋值给返回的数组</td>    </tr>    <tr>     <td align="left">fetchColumn()</td>     <td align="left">返回结果集中下一行某个列的值</td>    </tr>    <tr>     <td align="left">fetchObject()</td>     <td align="left">获取下一行记录并返回它作为一个对象</td>    </tr>    <tr>     <td align="left">getAttribute()</td>     <td align="left">获取一个声明属性</td>    </tr>    <tr>     <td align="left">getColumnMeta()</td>     <td align="left">在结果集中返回某一列的属性信息</td>    </tr>    <tr>     <td align="left">nextRowset()</td>     <td align="left">检索下一行集(结果集)</td>    </tr>    <tr>     <td align="left">rowCount()</td>     <td align="left">返回执行DQL语句后查询结果的记录行数，或返回执行DML语句后受影的记录行总数</td>    </tr>    <tr>     <td align="left">setAttribute()</td>     <td align="left">为一个预处理语句设置属性</td>    </tr>    <tr>     <td align="left">setFetchMode()</td>     <td align="left">设置获取结果集合的类型</td>    </tr>   </tbody>  </table> ##

# 2. 准备语句 #

需要使用占位符号来替代需要使用变量作为值的地方。PDO中有两种使用占位符的语法:”命名参数”和”问号参数”

*  使用命名参数作为占位符的INSERT查询:

`$dbh->prepare("INSERT INTO userInfo(name,address,phone) VALUES(:name,:address,:phone)")`

*  需要自定义一个字符串作为”命名参数”,**每个命名参数需要使用冒号(:)开始**,参数的命名一定要有意义，最好和对应的字段名称相同

`$dbh->prepare("INSERT INTO userInfo(name,address,phone) VALUES(?,?,?)")`

**问号参数一定要和字段的位置顺序相对应**

--------------------

# 3. 绑定参数 #

如果使用了占位符，就需要在每次执行时替换输入的参数。可以通过PDOStatement对象中的bindParam()方法，把参数变量绑定到准备好的占位符(位置和名字要对应)。

`bindParam(mixed parameter, mixed &variable[,int data_type[,int length[,mixed driver_options]]])`

*  第一个参数parameter是必选项，如果在准备好的查询中占位符语法使用名字参数，那么将名字参数字符串作为bindParam()方法的第一个参数提供。如果使用问号参数，那么将准备好的查询中列值占位符的索引偏移量，作为该方法的第一个参数提供。
 *  第二个参数variable也是必选项，提供赋给第一个参数所指定占位符的值。因为该参数是按引用传递的，所以只能提供变量作为参数，不能直接提供数值。
 *  第三个参数data\_type是可选项，显示地为当前被绑定的参数设置数据类型。
    
     *  PDO::PARAM\_BOOL:代表boolean数据类型
     *  PDO::PARAM\_NULL:代表SQL中NULL类型
     *  PDO::PARAM\_INT:代表SQL中INTEGER数据类型
     *  PDO::PARAM\_STR:代表SQL中CHAR,VARCHAR和其他字符串数据类型
     *  PDO::PARAM\_LOB:代表SQL中大对象数据类型
 *  第四个参数length可选，用于指定数据类型的长度
 *  第五个参数driver\_options是可选项，通过该参数提供人任何数据库驱动程序特定的选项

<?php
    //省略上面的内容
    $query = "INSERT INTO userInfo(name, address, phone) VALUES(:name, :address, :phone)";
    $stmt = $dbh->prepare($query);  //调用PDO对象中的prepare()方法
    
    //第二个参数需要按引用传递，所以 需要使用变量作为参数
    $stmt->bindParam(':name', $name);
    $stmt->bindParam(':address', $address);
    $stmt->bindParam(':phone', $phone);
    
    $name = "张某某";
    $address = "北京海淀区中关村";
    $phone = "18644444443";

使用问号参数的绑定示例如下所示。并在绑定时通过第三个参数显式地指定数据类型。

<?php
    //省略上面的内容
    $query = "INSERT INTO userInfo(name, address, phone) VALUES(?,?,?)";
    $stmt = $dbh->prepare($query);  //调用PDO对象中的prepare()方法
    
    //第二个参数需要按引用传递，所以 需要使用变量作为参数
    $stmt->bindParam(1, $name, PDO::PARAM_STR);
    $stmt->bindParam(2, $address, PDO::PARAM_STR);
    $stmt->bindParam(3, $phone, PDO::PARAM_STR, 20);
    
    $name = "张某某";
    $address = "北京海淀区中关村";
    $phone = "18644444443";

--------------------

# 4. 执行准备好的查询 #

使用PDOStatement类对象的execute()方法

<?php
    try{
        $dbh = new PDO('mysql:dbname=testdb;host=localhost', 'mysql_user', 'mysql_pwd');
    }catch(PDOException $e){
        echo "数据库连接失败:".$e->getMessage();
    }
    
    $query = "INSERT INTO contactInfo(name,address, phone) VALUES(?, ?, ?)";
    $stmt = $dbh->prepare($query);//调用PDO对象中的prepare()方法准备查询
    
    $stmt->bindParam(1, $name);
    $stmt->bindParam(2,$address);
    $stmt->bindParam(3,$phone);
    
    $name="常某";
    $address = "北京";
    $phone = "18333333333";
    
    $stmt->execute();   //执行参数被绑定后的准备语句
    
    $name = "孙某某";
    $address = "宣武区";
    $phone = "15033333333";
    
    $stmt->execute();//再次执行参数被绑定后的准备语句，插入第二条语句

通过使用execute()方法中提供一个可选参数，该参数是由准备查询中的命名参数占位符组成的数组,来替换输入的参数。

*  使用关联数组,这个关联数组的每个下标名称都要和命名参数名称一一对应(可以不用命名参数前缀”:”).

<?php
    //省略上面的内容
    $query = "INSERT INTO userInfo(name, address, phone) VALUES(:name, :address, :phone)";
    $stmt = $dbh->prepare($query);  //调用PDO对象中的prepare()方法
    
    //传递一个数组为预处理查询中的命名参数绑定值，并执行一次
    $stmt->execute(array(":name"=>"赵某某",":address"=>"海淀区",":phone"=>"15333333333"));
    
    //再次传递一个数组为预处理查询中的命名参数绑定值，并执行第二次插入数据
    $stmt->execute(array(":name"=>"常某",":address"=>"宣武区",":phone"=>"18343333333"));

*  使用问号(?)参数，需要传递一个索引数组，数组中每个值的位置都要对应每个问号参数。

<?php
    //省略上面的内容
    $query = "INSERT INTO userInfo(name, address, phone) VALUES(?, ?, ?)";
    $stmt = $dbh->prepare($query);  //调用PDO对象中的prepare()方法
    
    //传递一个数组为预处理查询中的命名参数绑定值，并执行一次
    $stmt->execute(array("赵某某","海淀区","15333333333"));
    
    //再次传递一个数组为预处理查询中的命名参数绑定值，并执行第二次插入数据
    $stmt->execute(array("常某","宣武区","18343333333"));