PHP MySQLi mysqli_prepare() - Pripravljeni stavki

mysqli_prepare()

Funkcija mysqli_prepare() pripravi SQL stavek za izvedbo. Namesto da bi vrednosti vstavili direktno v niz, uporabimo vprašaje (?) kot nadomestna mesta.

PRIMER

<?php
$streznik = "localhost";
$uporabniskoIme = "root";
$geslo = "";
$baza_podatkov = "mysqli_baza_podatkov";

$povezava = mysqli_connect($streznik, $uporabniskoIme, $geslo, $baza_podatkov);

if (mysqli_connect_errno()) {
    echo "Povezava ni uspela: " . mysqli_connect_error();
    exit();
}

// 1. Priprava stavka (SQL kalup z vprašaji namesto vrednosti)
// OPOMBA: Vprašaji (?) delujejo kot varna mesta za podatke. Strežnik v tem koraku 
// preveri in pripravi SQL logiko, kar popolnoma prepreči napade tipa SQL injection.
$stmt = mysqli_prepare($povezava, "INSERT INTO mysqli_tabela (sadez, zelenjava) VALUES (?, ?)");

// 2. Vezava parametrov ("ss" pomeni, da bosta oba podatka tipa string/niz)
mysqli_stmt_bind_param($stmt, "ss", $sadez, $zelenjava);

// 3. Nastavitev vrednosti in prva izvedba kalupa
$sadez = "Borovnice"; 
$zelenjava = "Solata";
mysqli_stmt_execute($stmt);

// 4. Nastavitev novih vrednosti in druga izvedba istega kalupa
$sadez = "Breskve"; 
$zelenjava = "Artičoke";
mysqli_stmt_execute($stmt);

echo "Novi zapisi so uspešno ustvarjeni s pomočjo pripravljenih stavkov.";

// Zapremo stavek in povezavo
mysqli_stmt_close($stmt);
mysqli_close($povezava);
?>

REZULTAT

Tu bo prikazan rezultat...

Uporaba v praksi: To je najboljši način za preprečevanje SQL injection napadov. Stavek pošljemo strežniku vnaprej, nato pa mu ločeno pošljemo le podatke. To omogoča tudi hitrejše izvajanje, če isti stavek (npr. INSERT) ponovimo z različnimi podatki.

Loči SQL logiko od samih podatkov za maksimalno varnost.

Omogoča učinkovito večkratno izvajanje istega stavka.

Uporablja se v kombinaciji z bind_param() in execute().