44

在阅读了SQL 注入攻击之后,我只是在编辑我的搜索脚本。我正在尝试使用PDO而不是常规的 MySQL 连接从我的脚本中获得相同的功能。所以我一直在阅读其他关于 PDO 的帖子,但我不确定。这两个脚本会提供相同的功能吗?

使用 PDO:

$pdo = new PDO('mysql:host=$host; dbname=$database;', $user, $pass);
$stmt = $pdo->prepare('SELECT * FROM auction WHERE name = :name');
$stmt->bindParam(':name', $_GET['searchdivebay']);
$stmt->execute(array(':name' => $name);

使用常规 MySQL:

$dbhost = @mysql_connect($host, $user, $pass) or die('Unable to connect to server');

@mysql_select_db('divebay') or die('Unable to select database');
$search = $_GET['searchdivebay'];
$query = trim($search);

$sql = "SELECT * FROM auction WHERE name LIKE '%" . $query . "%'";

if(!isset($query)){
    echo 'Your search was invalid';
    exit;
} //line 18

$result = mysql_query($trim);
$numrows = mysql_num_rows($result);
mysql_close($dbhost);

我继续使用常规示例

while($i < $numrows){
    $row = mysql_fetch_array($result);

从数据库中创建匹配结果的数组。如何使用 PDO 执行此操作?

4

2 回答 2

95

看看PDOStatement.fetchAll方法。您也可以fetch在迭代器模式中使用。

的代码示例fetchAll,来自 PHP 文档:

<?php
$sth = $dbh->prepare("SELECT name, colour FROM fruit");
$sth->execute();

/* Fetch all of the remaining rows in the result set */
print("Fetch all of the remaining rows in the result set:\n");
$result = $sth->fetchAll(\PDO::FETCH_ASSOC);
print_r($result);

结果:

Array
(
    [0] => Array
        (
            [NAME] => pear
            [COLOUR] => green
        )

    [1] => Array
        (
            [NAME] => watermelon
            [COLOUR] => pink
        )
)
于 2012-06-06T09:49:58.993 回答
17

有三种方法可以获取 PDO 语句返回的多行。

最简单的一种就是迭代 PDO 语句本身:

$stmt = $pdo->prepare("SELECT * FROM auction WHERE name LIKE ?")
$stmt->execute(array("%$query%"));
// iterating over a statement
foreach($stmt as $row) {
    echo $row['name'];
}

另一种是在熟悉的while语句中使用fetch()方法获取行:

$stmt = $pdo->prepare("SELECT * FROM auction WHERE name LIKE ?")
$stmt->execute(array("%$query%"));
// using while
while($row = $stmt->fetch()) {
    echo $row['name'];
}

但是对于现代 Web 应用程序,我们应该将数据库交互与输出分开,因此最方便的方法是使用fetchAll()方法一次获取所有行:

$stmt = $pdo->prepare("SELECT * FROM auction WHERE name LIKE ?")
$stmt->execute(array("%$query%"));
// fetching rows into array
$data = $stmt->fetchAll();

或者,如果您需要先预处理一些数据,请使用while循环并手动将数据收集到数组中:

$result = [];
$stmt = $pdo->prepare("SELECT * FROM auction WHERE name LIKE ?")
$stmt->execute(array("%$query%"));
// using while
while($row = $stmt->fetch()) {
    $result[] = [
        'newname' => $row['oldname'],
        // etc
    ];
}

然后在模板中输出它们:

<ul>
<?php foreach($data as $row): ?>
    <li><?=$row['name']?></li>
<?php endforeach ?>
</ul>

请注意,PDO 支持许多复杂的获取模式,允许 fetchAll() 返回许多不同格式的数据

于 2018-03-04T15:39:42.677 回答