如何使用 PHP SQL 准备语句避免代码重复？

Question

在我看到的大多数 SQL PHP 准备语句示例中，例如：

$sql = 'INSERT INTO tasks(task_name, start_date, completed_date) VALUES(:task_name, :start_date, :completed_date)';
$stmt = $this->pdo->prepare($sql);
$stmt->execute([
        ':task_name' => $taskName,
        ':start_date' => $startDate,
        ':completed_date' => $completedDate,
    ]);

字段名称几乎重复... 4 次！

• 在INSERT INTO(...) 之后：task_name（SQL 中的列名）
• 在VALUES(...) 之后：:task_name
• 在字典键中一次：:task_name
• 在字典中的一次值：$taskName（局部变量）

我知道每个都有不同的含义，但是这种冗余确实很烦人：如果我们想更改查询中的某些内容，我们必须更改 4 次！

如何更好地准备好语句，避免 PHP 中出现如此多的冗余？

Answer 1

这是一个很好的问题，我有几个答案。

原始 PHP

首先，您可以使用一些技巧来减少冗长，例如在查询中省略 fields 子句（并在 values 子句中为缺少的字段添加默认值）和使用位置占位符：

$sql = 'INSERT INTO tasks VALUES(null, ?, ?, ?)';
$this->pdo->prepare($sql)->execute([$taskName, $startDate, $completedDate]);

我称它们为技巧是因为它们并不总是适用。

请注意，您必须为表中的所有列提供值。它可能只是一个 null 值，或者为了使其与省略的字段 100% 等效，您可以将其设置为 DEFAULT(field_name)，这样它就会插入一个在表定义中定义的默认值。

辅助函数

下一个级别是为插入创建一个辅助函数。执行此操作时，必须敏锐地意识到SQL Injection through field names。

因此，这样的辅助函数必须有自己的辅助函数：

function escape_mysql_identifier($field){
    return "`".str_replace("`", "``", $field)."`";
}

有了这样一个函数，我们可以创建一个辅助函数，它接受一个表名和一个包含field name => value 对的数据数组：

function prepared_insert($conn, $table, $data) {
    $keys = array_keys($data);
    $keys = array_map('escape_mysql_identifier', $keys);
    $fields = implode(",", $keys);
    $table = escape_mysql_identifier($table);
    $placeholders = str_repeat('?,', count($keys) - 1) . '?';
    $sql = "INSERT INTO $table ($fields) VALUES ($placeholders)";
    $conn->prepare($sql)->execute(array_values($data));
} 

我故意不在这里使用命名占位符，因为它使代码更短，占位符名称中可能存在不允许的字符，而对于列名、空格或破折号完全有效；也因为我们通常不在乎它在内部是如何工作的。

现在您的插入代码将变为

prepared_insert($this->pdo, 'tasks',[
    'task_name' => $taskName,
    'start_date' => $startDate,
    'completed_date' => $completedDate,
]);

删除了很多重复

一个婴儿 ORM

但是我也不喜欢上面的解决方案，它有一些怪癖。

为了满足自动化的需求，我宁愿创建一个简单的 ORM。不要被这个词吓到它并不像一些想象的那么可怕。我最近发布了complete working example，因此您也可以将其用于您的案例，尤其是考虑到您已经在使用 OOP。

只需输入一个insert() 方法

public function insert()
{
    $fields = '`'.implode("`,`", $this->_fields).'`';
    $placeholders = str_repeat('?,', count($this->_fields) - 1) . '?';

    $data = [];
    foreach($this->_fields as $key)
    {
        $data[]  = $this->{$key};
    }
    $sql = "INSERT INTO `{$this->_table}` ($fields) VALUES ($placeholders)";
    $this->_db->prepare($sql)->execute($data);
}

之后，你必须准备你的课程，

class Task extends BaseAcctiveRecord
{
    protected $_table = "tasks";
    protected $_fields = ['task_name', 'start_date', 'completed_date'];
}

然后——所有的魔法都发生在这里！ - 您根本不需要编写插入代码！ 只需创建类的新实例，为其属性赋值，然后调用insert() 方法：

include 'pdo.php';
$task = new Task($pdo);
$task->task_name = $taskName;
$task->start_date = $startDate;
$task->completed_date = $completedDate;
$user->insert();

Answer 2

这不是多余的，它是最简单的例子。
当您必须使用不同的参数多次执行查询时，预准备语句的优势会发挥更大的作用。

以下示例将通过value 获取从 1 到 10 的所有行：

$value = 1;
$stmt = $pdo->prepare("INSER INTO (first, second, third) VALUES (?, ?, ?);");

$rowsToInsert = [["first", "second", "third"]];

foreach ($rowsToInsert as $row) {
  array_map($row, function($v, $i) use ($stmt) {
    $stmt->bindValue($i + 1, $v);
  });

  $stmt->execute();
}

你也可以随意使用其他php逻辑来绑定参数：

$params = [
 ":first" => $first,
 ":second" => $second,
 ":third" => $third
];

$sql = sprintf(
  "INSERT INTO (first, second, third) VALUES (%s);", 
  implode(" ", array_keys($params))
);

$stmt = $pdo->prepare($sql);

foreach ($params as $name => $value) {
  $stmt->bindValue($name, $value);
}

$stmt->execute();