Что такое подготовленные запросы?

Это способ повышения безопасности и производительности при работе с базами данных, когда шаблон SQL-запроса отправляется серверу базы данных отдельно от самих данных.

Преимущества:

• Защита от SQL-инъекций: Данные обрабатываются сервером базы данных как литералы, а не как часть SQL-кода.
• Производительность: Сервер базы данных кеширует план выполнения запроса, что экономит время при многократном выполнении одного и того же запроса с разными параметрами.
• Удобство: Позволяют структурировать код и упрощают отладку.

Этапы выполнения подготовленного запроса:

1. Подготовка (Prepare): Шаблон запроса отправляется серверу базы данных для анализа, проверки синтаксиса и построения плана выполнения. В шаблоне используются плейсхолдеры для обозначения мест, куда будут подставляться данные.
2. Привязка (Bind): Значения переменных связываются с плейсхолдерами. Сервер их не интерпретирует как SQL-код.
3. Выполнение (Execute): Запрос выполняется с привязанными значениями.

Пример использования подготовленного запроса в PHP с PDO:

<?php
// Подключение к базе данных (пример)
$dsn = 'mysql:host=localhost;dbname=mydatabase';
$user = 'myuser';
$password = 'mypassword';

try {
    $pdo = new PDO($dsn, $user, $password);
    $pdo->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);
} catch (PDOException $e) {
    die('Ошибка подключения: ' . $e->getMessage());
}

// Подготовка запроса с плейсхолдерами
$stmt = $pdo->prepare("SELECT name, email FROM users WHERE id = :id");

// Привязка значения к плейсхолдеру
$userId = 1;
$stmt->bindParam(':id', $userId, PDO::PARAM_INT);

// Выполнение запроса
$stmt->execute();

// Получение результатов
$user = $stmt->fetch(PDO::FETCH_ASSOC);

if ($user) {
    echo "Имя пользователя: " . htmlspecialchars($user['name']) . "<br>";
    echo "Email пользователя: " . htmlspecialchars($user['email']) . "<br>";
} else {
    echo "Пользователь с ID " . htmlspecialchars($userId) . " не найден.";
}

?>

В данном примере :id является именованным плейсхолдером. Также можно использовать позиционные плейсхолдеры (?).

<?php
// Подготовка запроса с позиционным плейсхолдером
$stmt = $pdo->prepare("SELECT name, email FROM users WHERE id = ?");

// Выполнение запроса с массивом значений для плейсхолдера
$userId = 2;
$stmt->execute([$userId]);

// Получение результатов
$user = $stmt->fetch(PDO::FETCH_ASSOC);

if ($user) {
    echo "Имя пользователя: " . htmlspecialchars($user['name']) . "<br>";
    echo "Email пользователя: " . htmlspecialchars($user['email']) . "<br>";
} else {
    echo "Пользователь с ID " . htmlspecialchars($userId) . " не найден.";
}
?>