0

В sql необходимо добавить 10 строк (массив $arrRows), в каждой строке 10 значений, значения необходимо экранировать. Вопрос как это сделать правильнее, при условии, что все 10 строк должны вставляться одним запросом? Варианты:

1) Экранировать все 100 значений в цикле с помощью mysqli_real_escape_string:

$link = mysqli_connect("localhost", "user", "password");
foreach ($arrRows as $row) {
    foreach ($row as $key => $value) {
        $row[$key] = mysqli_real_escape_string($link, $value);
    }
}

После чего сформировать строку запроса в цикле (по $arrRows) с помощью конкатенации:

foreach ($arrRows as $row) {
    $sql .= "('" . $row[1] . "', '" . $row[2] . "', '" . ... . $row[10] . "'), ";
}
$sql = "INSERT INTO tName (col_1, col_2, col_3, ... , col_10) VALUES " . substr($sql, 0, -2);

и отправить запрос в БД:

$result = mysqli_query($link, $sql);

2) Использовать prepared statements:

$link = mysqli_connect("localhost", "user", "password");
$newRow = [];
$types = "";
foreach ($arrRows as $row) {
    $sql .= "(?, ?, ?, ... , ?), ";
    $newRow = $newRow + $row; // вместо 10 строк (массивов) делаем 1 массив
    $types .= "s";
}
$sql = "INSERT INTO tName (col_1, col_2, col_3, ... , col_10) VALUES " . substr($sql, 0, -2);
$stmt = mysqli_prepare($link, $sql);
mysqli_stmt_bind_param($stmt, $types, ...$newRow);
mysqli_stmt_execute($stmt);

В первом случае получается 100 запросов к БД (если не прав, то поправьте) в цикле (mysqli_real_escape_string).

Во втором случае всего парочка запросов.

Существуют ли еще какие-либо способы экранирования большого количества значений в длинных запросах?

1
  • 1
    Второй вариант лучше.
    – ArchDemon
    30 мар 2019 в 18:00

1 ответ 1

0

Вопрос хороший, но оба варианта неидеальны.

Правильный вариант будет такой

// соединение с БД. ПРАВИЛЬНОЕ, а не как всегда
mysqli_report(MYSQLI_REPORT_ERROR | MYSQLI_REPORT_STRICT);
$link = mysqli_connect("localhost", "user", "password");
mysqli_set_charset($link, "utf8mb4");

// подготовка запроса
$sql = "INSERT INTO tName (col_1, col_2, col_3, ... , col_10) VALUES(?,?,?,?,?,?,?,?,?,?)";
$stmt = mysqli_prepare($link, $sql);

// выполнение
$link->begin_transaction()
foreach ($arrRows as $row) {
    mysqli_stmt_bind_param($stmt, "ssssssssss", ...$row);
    mysqli_stmt_execute($stmt);
}
$link->commit();

Весь секрет в командах begin_transaction и commit. Они как раз и обеспечивают то, что ты называешь "выполнение одним запросом".

1
  • 1
    А плейсхолдеры в запрос кто добавит, Пушкин?
    – u_mulder
    30 мар 2019 в 18:31

Ваш ответ

Нажимая на кнопку «Отправить ответ», вы соглашаетесь с нашими условиями использования и подтверждаете, что прочитали и поняли наши политику конфиденциальности и нормы поведения.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.