MySQLプリペアドステートメント

PDO（PHPデータオブジェクト）を使用します MySQLデータベースに接続します。この方法により、すべてのデータベース入力が常にテキスト文字列として扱われ、手動でエスケープする必要がなくなります。

これをhtml_entities（）の適切な使用と組み合わせて、からのデータを表示しますデータベースは、ページをインジェクションから保護するための確実で優れた方法です。私は常にPDOを使用して、プロジェクト内のすべてのデータベース接続を処理しています。

データベースオブジェクトを作成します（この場合、特定の文字エンコードを適用します）：

try {
    $db = new PDO("mysql:host=[hostname];dbname=[database]",'[username]','[password]');
    $db->setAttribute(PDO::MYSQL_ATTR_INIT_COMMAND, "SET NAMES utf8");
    $db->setAttribute(PDO::ATTR_ERRMODE,PDO::ERRMODE_EXCEPTION);
    $db->exec('SET NAMES utf8');
} catch (PDOException $e) {
    echo $e->getMessage();
}

次に、次のように使用します：

$id = 1;
$q = $db->prepare('SELECT * FROM Table WHERE id = ?');
$q->execute(array($id));
$row = $q->fetch();
echo $row['Column_1'];

または

$q = $db->prepare('UPDATE Table SET Column_1 = ?, Column_2 = ? WHERE id = ?');
$q->execute(array('Value for Column_1','Value for Column_2',$id));

ワイルドカード付き：

$search = 'John';
$q = $db->prepare('SELECT * FROM Table WHERE Column_1 LIKE ?');
$q->execute(array('%'.$search.'%'));
$num = $q->rowCount();
if ($num > 0) {
  while ($row = $q->fetch()) {
    echo $row['Column_1'];
  }
} else {
  echo "No hits!";
}

続きを読む：

PHPでSQLインジェクションを防ぐにはどうすればよいですか？

プリペアドステートメントを使用しない場合

PDOプリペアドステートメントの安全性

http://php.net/manual/en/book.pdo.php