PHP는 MySQL에 연결하기 위해 세 가지 다른 API를 제공합니다. 이것들은 mysql(PHP 7에서 제거) mysqli, 그리고 PDO확장입니다.
이 mysql_*기능은 매우 인기가 있었지만 더 이상 사용하지 않는 것이 좋습니다. 문서화 팀은 데이터베이스 보안 상황을 논의하고 있으며 사용자에게 일반적으로 사용되는 ext / mysql 확장에서 벗어나도록 교육하는 것이 이것의 일부입니다 ( php.internals : deprecating ext / mysql 확인 ).
그리고 나중에 PHP 개발자 팀 생성하기로 결정 취한 E_DEPRECATED통해 여부를 사용자가 MySQL을 연결할 때 오류 mysql_connect(), mysql_pconnect()또는에 내장 된 암시 적 연결 기능을 ext/mysql.
ext/mysql한 공식적으로 PHP 5.5으로 사용되지 하고있다 PHP 7로 제거 .
레드 박스를 보시겠습니까?
mysql_*기능 매뉴얼 페이지 로 이동하면 더 이상 사용해서는 안되는 빨간색 상자가 표시됩니다.
왜
멀어지면 ext/mysql보안뿐만 아니라 MySQL 데이터베이스의 모든 기능에 액세스해야합니다.
ext/mysql는 MySQL 3.23을 위해 만들어졌으며 그 이후로 거의 추가되지 않았지만 대부분이 이전 버전과의 호환성을 유지하여 코드를 유지하기가 조금 더 어려워졌습니다. 지원되지 않는 기능 ext/mysql은 다음 을 포함합니다 : ( PHP manual에서 ).
mysql_*기능을 사용하지 않는 이유 :
- 적극적 개발 중이 아님
- PHP 7에서 제거
- OO 인터페이스 부족
- 비 차단 비동기 쿼리를 지원하지 않습니다
- 준비된 명령문 또는 매개 변수화 된 쿼리를 지원하지 않습니다
- 저장 프로 시저를 지원하지 않습니다
- 여러 문장을 지원하지 않습니다
- 거래를 지원하지 않습니다
- MySQL 5.1의 모든 기능을 지원하지는 않습니다
Quentin의 답변에서 인용 한 위의 내용
준비된 명령문에 대한 지원 부족은 별도의 함수 호출로 외부 데이터를 수동으로 이스케이프 처리하는 것보다 명확하고 오류가 발생하기 쉬운 외부 데이터 이스케이프 및 인용 방법을 제공하므로 특히 중요합니다.
SQL 확장 비교를 참조하십시오 .
지원 중단 경고 억제
코드로 변환되는 동안 MySQLi/ PDO, E_DEPRECATED설정하여 오류를 억제 할 수 error_reporting에서 php.ini 파일 제외E_DEPRECATED:
error_reporting = E_ALL ^ E_DEPRECATED
이것은 또한 다른 지원 중단 경고를 숨길 것 입니다. 그러나 이것은 MySQL 이외의 것들에 대한 것일 수도 있습니다. ( PHP 매뉴얼에서 )
PDO vs. MySQLi 기사 : 어느 것을 사용해야합니까? 에 의해 Dejan Marjanovic 당신이 선택하는 데 도움이 될 것입니다.
더 좋은 방법은 입니다. PDO이제 간단한 PDO자습서를 작성하고 있습니다.
간단하고 짧은 PDO 튜토리얼
Q. 내 마음의 첫 번째 질문은 'PDO'란 무엇입니까?
A.“ PDO – PHP Data Objects –는 여러 데이터베이스에 대한 균일 한 액세스 방법을 제공하는 데이터베이스 액세스 계층입니다.”
MySQL에 연결
로 mysql_*우리가 그것을 옛날 방식을 말할 수있는 함수 또는 (위의 PHP에서 5.5을 사용되지 않음)
$link = mysql_connect('localhost', 'user', 'pass');
mysql_select_db('testdb', $link);
mysql_set_charset('UTF-8', $link);
With PDO: 새 PDO객체를 생성하기 만하면됩니다. 생성자는 데이터베이스 소스 생성자를 지정하기위한 매개 변수를 승인합니다. (데이터 소스 이름) 및 선택적으로 , PDO네 개의 매개 변수를 사용 합니다.DSNusernamepassword
여기서 나는 당신이 제외한 모든 것을 잘 알고 있다고 생각합니다 DSN. 이것은의 새로운 기능입니다 PDO. A DSN는 기본적으로 PDO사용할 드라이버와 연결 세부 정보 를 알려주는 일련의 옵션입니다 . 자세한 내용은 PDO MySQL DSN을 확인하십시오 .
$db = new PDO('mysql:host=localhost;dbname=testdb;charset=utf8', 'username', 'password');
참고 : 을 사용할 수도 charset=UTF-8있지만 때로는 오류가 발생하여을 사용하는 것이 좋습니다 utf8.
연결 오류가 있으면 더 PDOException처리하기 위해 잡을 수 있는 객체가 발생합니다 Exception.
읽기 : 연결 및 연결 관리
여러 드라이버 옵션을 배열로 네 번째 매개 변수에 전달할 수도 있습니다. PDO예외 모드로 들어가는 매개 변수를 전달하는 것이 좋습니다 . 일부 PDO드라이버는 기본 준비된 명령문을 지원하지 않으므로 준비 PDO에뮬레이션을 수행합니다. 또한이 에뮬레이션을 수동으로 활성화 할 수 있습니다. 기본 서버 측 준비 명령문을 사용하려면 명시 적으로 설정해야합니다 false.
다른 하나는 MySQL기본적으로 드라이버 에서 활성화 된 준비 에뮬레이션을 끄는 PDO것입니다. 그러나 안전하게 사용하려면 준비 에뮬레이션을 꺼야합니다 .
나중에 에뮬레이션 준비를 해제해야하는 이유에 대해 설명하겠습니다. 이유를 찾으려면 이 게시물을 확인 하십시오 .
MySQL내가 권장하지 않는 이전 버전을 사용하는 경우에만 사용할 수 있습니다 .
다음은이를 수행하는 방법의 예입니다.
$db = new PDO('mysql:host=localhost;dbname=testdb;charset=UTF-8',
'username',
'password',
array(PDO::ATTR_EMULATE_PREPARES => false,
PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION));
PDO 생성 후 속성을 설정할 수 있습니까?
예 , PDO 생성 후 setAttribute메소드를 사용하여 일부 속성을 설정할 수도 있습니다 .
$db = new PDO('mysql:host=localhost;dbname=testdb;charset=UTF-8',
'username',
'password');
$db->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);
$db->setAttribute(PDO::ATTR_EMULATE_PREPARES, false);
오류 처리
오류 처리에서 훨씬 더 쉽게 PDO보다 mysql_*.
사용할 때 일반적인 관행 mysql_*은 다음과 같습니다.
//Connected to MySQL
$result = mysql_query("SELECT * FROM table", $link) or die(mysql_error($link));
OR die()에서 일을 처리 할 수 없으므로 오류를 처리하는 좋은 방법이 아닙니다 die. 스크립트를 갑자기 종료 한 다음 일반적으로 최종 사용자에게 표시하고 싶지 않은 화면에 오류를 표시하고 피의 해커가 스키마를 발견하게합니다. 또는 mysql_*함수 의 반환 값을 mysql_error () 와 함께 사용하여 오류를 처리 할 수도 있습니다.
PDO더 나은 솔루션을 제공합니다 : 예외. 우리가 함께 할 아무것도 PDOA의 포장되어야한다 try- catch블록. PDOerror mode 속성을 설정하여 세 가지 오류 모드 중 하나로 강제 설정할 수 있습니다 . 다음은 세 가지 오류 처리 모드입니다.
PDO::ERRMODE_SILENT. 그것은 단지 오류 코드를 설정하고 mysql_*각 결과를 확인한 다음 $db->errorInfo();오류 세부 정보를 얻는 위치 와 거의 동일하게 작동 합니다 .PDO::ERRMODE_WARNING올립니다 E_WARNING. 런타임 경고 (치명적이지 않은 오류). 스크립트 실행이 중지되지 않습니다.PDO::ERRMODE_EXCEPTION: 예외를 던집니다. PDO에 의해 발생한 오류를 나타냅니다. PDOException자신의 코드에서를 던져서는 안됩니다 . PHP 예외에 대한 자세한 내용은 예외 를 참조하십시오 . or die(mysql_error());잡히지 않을 때 와 매우 흡사 합니다. 그러나 달리 or die()의이 PDOException잡힌 당신이 그렇게하도록 선택하면 정상적으로 처리 할 수 있습니다.
잘 읽음 :
처럼:
$stmt->setAttribute( PDO::ATTR_ERRMODE, PDO::ERRMODE_SILENT );
$stmt->setAttribute( PDO::ATTR_ERRMODE, PDO::ERRMODE_WARNING );
$stmt->setAttribute( PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION );
그리고 아래와 같이 try-로 감쌀 수 catch있습니다.
try {
//Connect as appropriate as above
$db->query('hi'); //Invalid query!
}
catch (PDOException $ex) {
echo "An Error occured!"; //User friendly message/message you want to show to user
some_logging_function($ex->getMessage());
}
당신은 취급 할 필요가 없습니다 try- catch지금. 언제든지 적절한 시간에 잡을 수 있지만 try- 를 사용하는 것이 좋습니다 catch. 또한 PDO물건 을 호출하는 함수 외부에서 그것을 잡는 것이 더 합리적 일 수 있습니다 .
function data_fun($db) {
$stmt = $db->query("SELECT * FROM table");
return $stmt->fetchAll(PDO::FETCH_ASSOC);
}
//Then later
try {
data_fun($db);
}
catch(PDOException $ex) {
//Here you can handle error and show message/perform action you want.
}
또한 처리 할 수 or die()있거나처럼 말할 수 mysql_*있지만 실제로는 다양합니다. display_errors off오류 로그를 돌려서 읽으면 프로덕션에서 위험한 오류 메시지를 숨길 수 있습니다 .
자, 위의 모든 것들을 읽고 나면, 당신은 아마 생각 : 도대체 무엇인지 그 난 그냥 간단하게 기대어 시작하려고 할 때 SELECT, INSERT, UPDATE, 또는 DELETE문을? 걱정하지 마십시오.
데이터 선택
그래서 당신이하고있는 mysql_*일은 :
<?php
$result = mysql_query('SELECT * from table') or die(mysql_error());
$num_rows = mysql_num_rows($result);
while($row = mysql_fetch_assoc($result)) {
echo $row['field1'];
}
이제에서 PDO다음과 같이 할 수 있습니다.
<?php
$stmt = $db->query('SELECT * FROM table');
while($row = $stmt->fetch(PDO::FETCH_ASSOC)) {
echo $row['field1'];
}
또는
<?php
$stmt = $db->query('SELECT * FROM table');
$results = $stmt->fetchAll(PDO::FETCH_ASSOC);
//Use $results
참고 : 아래 ( query()) 와 같은 방법을 사용하는 경우이 방법은 PDOStatement객체를 반환 합니다. 결과를 가져 오려면 위와 같이 사용하십시오.
<?php
foreach($db->query('SELECT * FROM table') as $row) {
echo $row['field1'];
}
PDO Data에서는 ->fetch()명령문 핸들의 메소드 인를 통해 얻습니다 . 가져 오기를 호출하기 전에 가장 좋은 방법은 PDO에게 데이터를 가져 오는 방법을 알려주는 것입니다. 아래 섹션에서 이것을 설명합니다.
페치 모드
위 PDO::FETCH_ASSOC의 fetch()및 fetchAll()코드 에서 의 사용에 유의하십시오 . 이것은 PDO필드 이름을 키로 사용하여 행을 연관 배열로 리턴하도록 지시 합니다. 다른 페치 모드도 많이 있는데, 하나 하나 설명하겠습니다.
우선, 가져 오기 모드를 선택하는 방법에 대해 설명합니다.
$stmt->fetch(PDO::FETCH_ASSOC)
위에서는을 사용하고 fetch()있습니다. 다음을 사용할 수도 있습니다.
이제 가져 오기 모드가되었습니다.
PDO::FETCH_ASSOC: 결과 세트에 리턴 된대로 열 이름으로 색인화 된 배열을 리턴합니다.PDO::FETCH_BOTH (기본값) : 결과 집합에 반환 된 열 이름과 0 색인 열 번호로 색인 된 배열을 반환합니다.
더 많은 선택이 있습니다! PDOStatementFetch 문서 에서 이에 대해 모두 읽으십시오 . .
행 개수 얻기 :
mysql_num_rows반환 된 행 수를 얻는 데 사용 하는 대신 a PDOStatement와 do를 얻을 수 있습니다 rowCount().
<?php
$stmt = $db->query('SELECT * FROM table');
$row_count = $stmt->rowCount();
echo $row_count.' rows selected';
마지막으로 삽입 된 ID 얻기
<?php
$result = $db->exec("INSERT INTO table(firstname, lastname) VAULES('John', 'Doe')");
$insertId = $db->lastInsertId();
삽입 및 업데이트 또는 삭제 명령문
우리가 mysql_*기능 하고있는 것은 :
<?php
$results = mysql_query("UPDATE table SET field='value'") or die(mysql_error());
echo mysql_affected_rows($result);
그리고 pdo에서 이와 동일한 작업을 수행 할 수 있습니다.
<?php
$affected_rows = $db->exec("UPDATE table SET field='value'");
echo $affected_rows;
위 쿼리 PDO::exec에서 SQL 문을 실행하고 영향을받는 행 수를 반환합니다.
삽입과 삭제는 나중에 다루겠습니다.
위의 방법은 쿼리에서 변수를 사용하지 않는 경우에만 유용합니다. 쿼리에서 변수를 사용할 필요하지만, 지금까지 지금까지 위의 거기에 같이하지 않는 준비된 문 또는 매개 변수가있는 문 이다.
준비된 진술
Q. 준비된 진술은 무엇이며 왜 필요합니까?
A. 준비된 명령문은 서버로 데이터 만 보내 여러 번 실행할 수있는 사전 컴파일 된 SQL 문입니다.
준비된 문장을 사용하는 일반적인 워크 플로는 다음과 같습니다 ( Wikipedia 3 3 point에서 인용 ).
준비 : 명령문 템플리트는 애플리케이션에 의해 작성되고 데이터베이스 관리 시스템 (DBMS)으로 전송됩니다. 매개 변수, 자리 표시 자 또는 바인드 변수라고하는 특정 값은 지정되지 않은 상태로 유지 ?됩니다 ( 아래에 표시 ).
INSERT INTO PRODUCT (name, price) VALUES (?, ?)
DBMS는 명령문 템플리트에서 쿼리 최적화를 구문 분석, 컴파일 및 수행하고 결과를 실행하지 않고 저장합니다.
- Execute : 나중에 어플리케이션은 매개 변수에 값을 제공 (또는 바인드)하고 DBMS는 명령문을 실행합니다 (결과를 리턴 할 수 있음). 응용 프로그램은 다른 값으로 원하는만큼 명령문을 실행할 수 있습니다. 이 예에서는 첫 번째 매개 변수와
1.00두 번째 매개 변수에 'Bread'를 제공 할 수 있습니다 .
SQL에 자리 표시자를 포함시켜 준비된 명령문을 사용할 수 있습니다. 기본적으로 자리 표시자가없는 세 가지가 있습니다 (위의 변수를 사용하여 위의 변수로 시도하지 마십시오).
Q. 이제 명명 된 자리 표시자는 무엇이며 어떻게 사용합니까?
A. 명명 된 자리 표시 자. 물음표 대신 설명적인 이름 앞에 콜론을 사용하십시오. 우리는 이름 자리 표시 자의 위치 / 가치 순서에 관심이 없습니다.
$stmt->bindParam(':bla', $bla);
bindParam(parameter,variable,data_type,length,driver_options)
실행 배열을 사용하여 바인딩 할 수도 있습니다.
<?php
$stmt = $db->prepare("SELECT * FROM table WHERE id=:id AND name=:name");
$stmt->execute(array(':name' => $name, ':id' => $id));
$rows = $stmt->fetchAll(PDO::FETCH_ASSOC);
OOP친구에게 또 다른 멋진 기능 은 명명 된 자리 표시자가 속성이 명명 된 필드와 일치한다고 가정 할 때 개체를 데이터베이스에 직접 삽입 할 수 있다는 것입니다. 예를 들면 다음과 같습니다.
class person {
public $name;
public $add;
function __construct($a,$b) {
$this->name = $a;
$this->add = $b;
}
}
$demo = new person('john','29 bla district');
$stmt = $db->prepare("INSERT INTO table (name, add) value (:name, :add)");
$stmt->execute((array)$demo);
Q. 이름없는 자리 표시자는 무엇이며 어떻게 사용합니까?
A. 예를 들어 봅시다 :
<?php
$stmt = $db->prepare("INSERT INTO folks (name, add) values (?, ?)");
$stmt->bindValue(1, $name, PDO::PARAM_STR);
$stmt->bindValue(2, $add, PDO::PARAM_STR);
$stmt->execute();
과
$stmt = $db->prepare("INSERT INTO folks (name, add) values (?, ?)");
$stmt->execute(array('john', '29 bla district'));
위와 같이 ?이름 자리 표시 자 와 같이 이름 대신 이름을 볼 수 있습니다 . 이제 첫 번째 예에서는 다양한 자리 표시 자 ( $stmt->bindValue(1, $name, PDO::PARAM_STR);)에 변수를 할당합니다 . 그런 다음 해당 자리 표시 자에 값을 할당하고 문을 실행합니다. 두 번째 예에서, 첫 번째 배열 요소는 첫 번째로 가고 ?두 번째는 두 번째로 ?갑니다.
참고 : 명명되지 않은 자리 표시 자 에서는 PDOStatement::execute()메서드에 전달할 배열의 요소 순서를 적절하게 처리해야합니다 .
SELECT, INSERT, UPDATE, DELETE쿼리를 준비
SELECT:
$stmt = $db->prepare("SELECT * FROM table WHERE id=:id AND name=:name");
$stmt->execute(array(':name' => $name, ':id' => $id));
$rows = $stmt->fetchAll(PDO::FETCH_ASSOC);
INSERT:
$stmt = $db->prepare("INSERT INTO table(field1,field2) VALUES(:field1,:field2)");
$stmt->execute(array(':field1' => $field1, ':field2' => $field2));
$affected_rows = $stmt->rowCount();
DELETE:
$stmt = $db->prepare("DELETE FROM table WHERE id=:id");
$stmt->bindValue(':id', $id, PDO::PARAM_STR);
$stmt->execute();
$affected_rows = $stmt->rowCount();
UPDATE:
$stmt = $db->prepare("UPDATE table SET name=? WHERE id=?");
$stmt->execute(array($name, $id));
$affected_rows = $stmt->rowCount();
노트:
그러나 PDO및 / 또는 MySQLi완전히 안전하지는 않습니다. 답 확인 PDO 준비된 명령문이 SQL 삽입을 방지하기에 충분합니까? ircmaxell에 의해 . 또한, 나는 그의 대답에서 일부를 인용하고 있습니다 :
$pdo->setAttribute(PDO::ATTR_EMULATE_PREPARES, false);
$pdo->query('SET NAMES GBK');
$stmt = $pdo->prepare("SELECT * FROM test WHERE name = ? LIMIT 1");
$stmt->execute(array(chr(0xbf) . chr(0x27) . " OR 1=1 /*"));
