什么时候应该使用 PDO 使用 `try` 和 `catch` 准备和执行？

Question

我已经使用 PDO 几年了，但我从未完全研究过何时应该使用 try 和 catch 准备和执行。

我的理解是，当数据可能包含用户输入时，您应该使用try 和catch。

所以例如这段代码是安全的：

public function getDetails($filename, $what){
    $query = $this->handler->prepare('SELECT * FROM videos WHERE v_fileName = :v_fileName');
    try{
        $query->execute([
            ':v_fileName' => $filename
        ]);
    }catch(PDOException $e){
        return $e->getMessage();
    }
}

$filename 在这个例子中是来自 URL 的东西。

当没有从 URL 中得到任何东西时，例如这样它也完全保存：

$query = $this->handler->prepare('SELECT * FROM videos WHERE u_id = :u_id ORDER BY v_id LIMIT :climit,1');
$query->execute([
    ':u_id'     => $this->user->getChannelId($userid),
    ':climit'   => $optional[1]
]);

$fetch = $query->fetch(PDO::FETCH_ASSOC);

我对准备陈述的理解是否正确，如果不正确，我应该怎么做？

Answer 1

只有当你有充分的理由这样做时。

这不仅仅适用于 PDO 异常。任何例外情况也是如此。仅当您的代码可以从中恢复并执行其他操作时才捕获该异常。

仅捕获 echo 或 return $e->getMessage(); 的异常不是正当理由。您的代码无法从问题中恢复，您只是在阻碍异常。

您可能想要恢复的一个很好的例子是，如果您正在使用数据库事务，并且在发生故障时，您想要回滚并执行其他操作。您可以在catch 中调用PDO::rollBack()，然后让您的代码执行一些替代逻辑。

Try-catch 不是一种安全措施。它与用户输入无关。它仅在您预计代码会失败但您有计划 B 来处理这种情况的情况下使用。

更多信息可以阅读My PDO Statement doesn't work和文章PHP error reporting

Answer 2

我对准备陈述的理解是否正确，如果不正确，如何 我应该这样做吗？

您使用准备好的语句来避免SQL INJECTION。 准备好的语句会引用参数来避免它。

我的理解是，当数据可能出现时，您应该使用 try 和 catch 包含用户输入

try catch 块用于处理应用程序中的错误，与准备好的语句无关。