参数化查询？

参数化查询是一种预编译 SQL 语句的方式，它可以有效地防止 SQL 注入攻击。它的基本思想是，在 SQL 语句中使用占位符代替参数，然后将参数的值与 SQL 语句分开发送给数据库执行。这样做的好处是，参数值不会被拼接进 SQL 语句中，从而避免了 SQL 注入攻击。

例如，下面是一个使用参数化查询的 PHP 代码示例：

$stmt = $pdo->prepare('SELECT * FROM users WHERE username = :username');
$stmt->execute(['username' => $username]);
$results = $stmt->fetchAll();

在这个例子中，我们使用占位符 `:username` 代替了 SQL 语句中的用户名参数，并使用 `execute()` 函数将参数值 `$username` 与 SQL 语句分开发送给数据库执行。这样做可以有效地防止 SQL 注入攻击，因为 `$username` 的值不会被拼接进 SQL 语句中，从而无法被攻击者利用。

相关问题

怎样对 Get 方式实现 PDO 参数化查询？

使用 PDO 进行参数化查询时，可以使用占位符 :name 或 ? 来代替实际的参数值。对于 GET 方式，可以使用 $_GET 数组来获取 URL 中的参数值，然后将其与 SQL 查询语句中的占位符进行绑定，最后执行查询并返回结果集。

下面是一个示例代码：

<?php
// 建立 PDO 连接
$dsn = 'mysql:host=localhost;dbname=test';
$username = 'root';
$password = '';
$options = array(
    PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION
);
$dbh = new PDO($dsn, $username, $password, $options);

// 准备查询语句
$sql = 'SELECT * FROM users WHERE name = :name';

// 绑定参数
$name = $_GET['name'];
$stmt = $dbh->prepare($sql);
$stmt->bindParam(':name', $name, PDO::PARAM_STR);

// 执行查询
$stmt->execute();

// 获取结果
$result = $stmt->fetchAll(PDO::FETCH_ASSOC);

// 输出结果
echo json_encode($result);
?>

在上面的代码中，首先建立了与数据库的连接。然后，使用 PDO::prepare() 方法准备了查询语句，并使用 PDOStatement::bindParam() 方法将占位符 :name 绑定到 $_GET['name'] 变量上。最后，使用 PDOStatement::execute() 方法执行查询，并使用 PDOStatement::fetchAll() 方法获取结果集。最后，将结果集以 JSON 格式输出。

需要注意的是，在绑定参数时，要使用 PDO::PARAM_XXX 常量来指定参数类型，以确保参数的类型正确。在上面的代码中，使用了 PDO::PARAM_STR 来指定参数为字符串类型。

怎样对Get方式实现PDO参数化查询？

可以在PDO中使用bindParam方法实现Get方式的参数化查询，具体实现如下：

1. 连接数据库

$dsn = 'mysql:host=localhost;dbname=test;charset=utf8';
$username = 'root';
$password = '123456';

try {
$dbh = new PDO($dsn, $username, $password);
} catch (PDOException $e) {
echo 'Connection failed: ' . $e->getMessage();
exit;
}

2. 准备查询语句并绑定参数

$sql = 'SELECT * FROM user WHERE name = :name AND age = :age';
$stmt = $dbh->prepare($sql);
$stmt->bindParam(':name', $name);
$stmt->bindParam(':age', $age);

其中，$name和$age是查询参数。

3. 执行查询语句并获取结果

$stmt->execute();
$result = $stmt->fetchAll(PDO::FETCH_ASSOC);

执行execute()方法后，PDO会自动将参数按照绑定的位置替换掉查询语句中的占位符，最终执行的SQL语句为：

SELECT * FROM user WHERE name = 'John' AND age = 18;

通过fetchAll方法获取查询结果，其中PDO::FETCH_ASSOC是指返回关联数组。