O que é a consulta parametrizada?
o que é uma consulta parametrizada, e o que seria um exemplo de tal consulta em PHP e MySQL?
4 answers
Uma consulta parametrizada (também conhecida como instrução preparada) é um meio de pré-compilação de uma instrução SQL de modo que tudo o que você precisa fornecer são os "parâmetros" (pense "variáveis") que precisam ser inseridos na instrução para que ela seja executada. É comumente usado como um meio de prevenir os ataques de injeção de SQL .
Pode ler mais sobre estes na página DOP {[[8]}da PHP (a DOP é uma camada de extracção de base de dados), embora também possa utilizá-los se está a usar a interface da base de dados mysqli (veja a documentação prepare).
Essencial o processo envolve o servidor pré-processamento do pedido sem parâmetros para que ele saiba o tipo de consulta que é. Assim, por exemplo, uma consulta selecionada é apenas uma consulta selecionada, e não pode ser concatenada por um parâmetro(variável solicitação) para ser uma seleção / gota ou alguma outra injeção MySql. Em vez disso, os dados da injecção serão apenas dados de cadeia na campo de parâmetros.
Esta declaração é uma das características do sistema de base de dados em que a mesma declaração SQL executa repetidamente com elevada eficiência. As declarações preparadas são um tipo do Template e usadas pela aplicação com parâmetros diferentes. Artigo De Referência
O sistema de bases de dados pode executar a mesma declaração SQL sem fazer a análise, compilação e optimização uma e outra vez para o mesmo tipo de declaração SQL.
Você pode escrever ou criar uma declaração preparada no MySQL mas esta não é uma maneira eficiente porque o protocolo binário através de uma API de declaração preparada é melhor.
Mas ainda assim você pode escrever e mesmo isso não requer qualquer outra programação que você pode escrever diretamente em SQL. Você pode usar uma declaração preparada para o programa cliente MySQL.Você também pode usar uma declaração preparada em um procedimento armazenado para a abordagem dinâmica SQL.
Criar uma declaração preparada em MySQL: a referência é retirada deste artigo
PREPARE TestStmt FROM
'SELECT * FROM Test
WHERE TestNumber=?';
Pode usar PHP code to manage prepared statement through its API or manage at the level of JDBC.
Uma consulta parametrizada é uma consulta na qual são usadas substituições para parâmetros e os valores dos parâmetros são fornecidos no tempo de execução.
Porquê usar a pesquisa parametrizada
- a razão mais importante para usar consultas parametrizadas é para evitar ataques de injecção de SQL.
- em segundo lugar, a consulta parametrizada toma conta do cenário em que a consulta sql pode falhar, por exemplo, na inserção de O'Bally num campo. Procura parametrizada handels tal consulta sem o obrigar a substituir as aspas simples por aspas duplas.