Pripravljeni stavki (PREPARED STATEMENTS)

Pripravljeni stavki (prepared statements) so način za izvajanje SQL poizvedb, ki izboljšajo varnost in učinkovitost. Uporaba pripravljenih stavkov omogoča zaščito pred SQL injekcijami, saj se podatki pošljejo ločeno od SQL ukaza. S tem zagotovimo, da se ista poizvedba lahko varno izvaja večkrat z različnimi parametri. V spodnjem primeru bomo s to metodo v našo tabelo mysqli_tabela varno dodali več novih vrst sadja in zelenjave.

PRIMER

<?php
$streznik = "localhost";
$uporabnik = "root";
$geslo = "";
$baza = "mysqli_baza_podatkov";

// Vzpostavitev povezave (objektni način)
$povezava = new mysqli($streznik, $uporabnik, $geslo, $baza);

if ($povezava->connect_error) {
    die("Povezava ni uspela: " . $povezava->connect_error);
}

// 1. Pripravimo SQL stavek z vprašaji (placeholder)
$stavek = $povezava->prepare("INSERT INTO mysqli_tabela (sadez, zelenjava) VALUES (?, ?)");

// 2. Vežemo parametre ("ss" pomeni dva niza/string)
$stavek->bind_param("ss", $sadez, $zelenjava);

// 3. Nastavimo vrednosti in izvedemo (večkrat zaporedoma)
$sadez = "Grozdje"; $zelenjava = "Paprika";
$stavek->execute();

$sadez = "Breskev"; $zelenjava = "Paradižnik";
$stavek->execute();

$sadez = "Melona"; $zelenjava = "Kumara";
$stavek->execute();

$sadez = "Lubenica"; $zelenjava = "Bučka";
$stavek->execute();

$sadez = "Ananas"; $zelenjava = "Krompir";
$stavek->execute();

echo "Novi zapisi so bili vpisani uspešno s pripravljenimi stavki!";

// Zapremo pripravljen stavek, ker smo končali z vstavljanjem
$stavek->close();

// 4. POPRAVLJENO: Branje in izpis vseh podatkov iz tabele
$sql = "SELECT id_tabele, sadez, zelenjava, datum FROM mysqli_tabela";
$rezultat = $povezava->query($sql);

// Zapiranje povezave z bazo
$povezava->close();
?>

REZULTAT

Tu bo prikazan rezultat...

Pripravljeni stavki nam omogočajo, da to storimo varno, ne da bi se bali nepooblaščenih vdorov v bazo.

Povečana varnost: Podatki so ločeni od SQL ukaza, kar popolnoma prepreči SQL injekcije.
Večkratna uporaba: Isti SQL stavek se pripravi le enkrat, nato se le izvede z različnimi podatki.
Hitrost: Pri večjih količinah podatkov so pripravljeni stavki hitrejši od navadnih poizvedb.
Uporaba funkcij prepare(), bind_param() in execute().