0

В гайде использовался этот кусок кода:

$pdo = new PDO($dsn, $user, $password);
$sql = 'INSERT INTO users(Username, Email, Login, Pass) VALUES(?, ?, ?, ?)';
$quare = $pdo->prepare($sql);
$quare->execute([$username, $email, $login, $pass]);

До этого я делал так:

$link = mysqli_connect($host, $user, $password, $db);
$query = "INSERT INTO users_i(Username, Email, Login, Pass) VALUES('$username', '$email', '$login', '$pass')";
$result = mysqli_query($link, $query);

if($result)
{
  echo "Выполнение запроса прошло успешно";
}
mysqli_close($link);

Объясните в чем разница и что лучше использовать?

1
  • 6
    Лучше первое. Второе это эталон как делать нельзя ни в коем случае. Гуглить SQL Injection и читать до просветления. Начать можно отсюда ru.wikipedia.org/wiki/…
    – Alexey Ten
    6 ноя 2020 в 11:18

1 ответ 1

5

Представь что username у меня Д'Артаньян.
Попробуй подставить во второй запрос и выполнить.

Ничего не получится. А точнее будет:

... VALUES('Д'Артаньян', ...

база данных решит, что имя - это Д, а дальше какая-то белиберда.

Потому что когда ты подставляешь переменную напрямую в запрос, то есть риск того что содержимое переменной будет интерпретировано как часть запроса. И в лучшем случае будет ошибка, а в худшем - взлом сайта.

Поэтому надо всегда применять первый вариант, когда переменные подставляются в запрос не напрямую, а через маркеры - вот как у тебя знаки вопроса. Тем более PDO поддерживает не только знаки вопроса, но и именованные маркеры, типа :name - некоторым такое читать проще.

2
  • 1
    Первый вариант безусловно хорош, но второй вариант с использованием подготовленных запросов тоже имеет место быть.
    – MoloF
    6 ноя 2020 в 11:46
  • 1
    имеет, и я даже хотел привести пример. но потом впомнил что кроме примера для инсерта придется ещё обязательно написать как делать селекты - и тупо заленился. 6 ноя 2020 в 11:47

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge that you have read and understand our privacy policy and code of conduct.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.