Руководство. выполнять параметризованные запросы
Эта статья обобщает и демонстрирует возможности использования Драйверы Microsoft SQL Server для PHP для выполнения параметризованного запроса.
Все действия по выполнению параметризованного запроса можно свести к четырем шагам.
Используйте знаки вопроса (?) в качестве заполнителей в строке Transact-SQL, которая представляет выполняемый запрос.
Инициализируйте или обновите переменные PHP, которые соответствуют заполнителям в запросе Transact-SQL.
Используйте переменные PHP из шага 2, чтобы создать или обновить массив значений параметров, которые соответствуют заполнителям параметров в строке Transact-SQL. Значения параметров в массиве должны располагаться в том же порядке, что и представляющие их заполнители.
Выполните запрос:
При работе с драйвером SQLSRV используйте sqlsrv_query или sqlsrv_prepare/sqlsrv_execute.
При работе с драйвером PDO_SQLSRV выполните запрос с PDO::prepare и PDOStatement::execute. Статьи, посвященные PDO::prepare и PDOStatement::execute , содержат примеры кода.
Оставшаяся часть этой статьи посвящена работе с параметризованными запросами с помощью драйвера SQLSRV.
Примечание
Выполняется неявная привязка параметров с помощью sqlsrv_prepare. Это означает, что если параметризованный запрос подготовлен с помощью sqlsrv_prepare и значения в массиве параметров обновлены, при следующем выполнении запроса будут использоваться обновленные значения. Для получения дополнительных сведений см. второй пример в этой статье.
Пример запроса
Следующий пример обновляет количество для указанного кода продукта в таблице Production.ProductInventory базы данных AdventureWorks. Количество и код продукта являются параметрами в запросе UPDATE.
Затем пример отправляет в базу данных запрос для проверки правильности обновления количества. Идентификатор продукта является параметром в запросе SELECT.
В примере предполагается, что SQL Server и базы данных AdventureWorks установлены на локальном компьютере. При выполнении примера из командной строки все выходные данные выводятся в консоль.
<?php
/* Connect to the local server using Windows Authentication and
specify the AdventureWorks database as the database in use. */
$serverName = "(local)";
$connectionInfo = array( "Database"=>"AdventureWorks");
$conn = sqlsrv_connect( $serverName, $connectionInfo);
if( $conn === false )
{
echo "Could not connect.\n";
die( print_r( sqlsrv_errors(), true));
}
/* Define the Transact-SQL query.
Use question marks as parameter placeholders. */
$tsql1 = "UPDATE Production.ProductInventory
SET Quantity = ?
WHERE ProductID = ?";
/* Initialize $qty and $productId */
$qty = 10; $productId = 709;
/* Execute the statement with the specified parameter values. */
$stmt1 = sqlsrv_query( $conn, $tsql1, array($qty, $productId));
if( $stmt1 === false )
{
echo "Statement 1 could not be executed.\n";
die( print_r( sqlsrv_errors(), true));
}
/* Free statement resources. */
sqlsrv_free_stmt( $stmt1);
/* Now verify the updated quantity.
Use a question mark as parameter placeholder. */
$tsql2 = "SELECT Quantity
FROM Production.ProductInventory
WHERE ProductID = ?";
/* Execute the statement with the specified parameter value.
Display the returned data if no errors occur. */
$stmt2 = sqlsrv_query( $conn, $tsql2, array($productId));
if( $stmt2 === false )
{
echo "Statement 2 could not be executed.\n";
die( print_r(sqlsrv_errors(), true));
}
else
{
$qty = sqlsrv_fetch_array( $stmt2);
echo "There are $qty[0] of product $productId in inventory.\n";
}
/* Free statement and connection resources. */
sqlsrv_free_stmt( $stmt2);
sqlsrv_close( $conn);
?>
В предыдущем примере для выполнения запросов используется функция sqlsrv_query . Эта функция хорошо подходит для выполнения однократных запросов, так как она объединяет в себе подготовку и выполнение инструкции. Сочетание sqlsrv_prepare/sqlsrv_execute оптимально подходит для повторного выполнения запроса с другими значениями параметров. Чтобы ознакомиться с примером повторного выполнения запроса с другими значениями параметров, см. следующий пример.
Пример подготовки
Следующий пример демонстрирует неявную привязку переменных при использовании функции sqlsrv_prepare . Этот пример вставляет несколько заказов на продажу в таблицу Sales.SalesOrderDetail . Массив $params привязывается к инструкции ( $stmt) при вызове sqlsrv_prepare. Перед каждым выполнением запроса, который вставляет в таблицу новый заказ на продажу, массив $params обновляется новыми значениями, соответствующими сведениям об этом заказе на продажу. При последующем выполнении запроса используются новые значения параметров.
В примере предполагается, что SQL Server и базы данных AdventureWorks установлены на локальном компьютере. При выполнении примера из командной строки все выходные данные выводятся в консоль.
<?php
/* Connect to the local server using Windows Authentication and
specify the AdventureWorks database as the database in use. */
$serverName = "(local)";
$connectionInfo = array( "Database"=>"AdventureWorks");
$conn = sqlsrv_connect( $serverName, $connectionInfo);
if( $conn === false )
{
echo "Could not connect.\n";
die( print_r( sqlsrv_errors(), true));
}
$tsql = "INSERT INTO Sales.SalesOrderDetail (SalesOrderID,
OrderQty,
ProductID,
SpecialOfferID,
UnitPrice)
VALUES (?, ?, ?, ?, ?)";
/* Each sub array here will be a parameter array for a query.
The values in each sub array are, in order, SalesOrderID, OrderQty,
ProductID, SpecialOfferID, UnitPrice. */
$parameters = array( array(43659, 8, 711, 1, 20.19),
array(43660, 6, 762, 1, 419.46),
array(43661, 4, 741, 1, 818.70)
);
/* Initialize parameter values. */
$orderId = 0;
$qty = 0;
$prodId = 0;
$specialOfferId = 0;
$price = 0.0;
/* Prepare the statement. $params is implicitly bound to $stmt. */
$stmt = sqlsrv_prepare( $conn, $tsql, array( &$orderId,
&$qty,
&$prodId,
&$specialOfferId,
&$price));
if( $stmt === false )
{
echo "Statement could not be prepared.\n";
die( print_r( sqlsrv_errors(), true));
}
/* Execute a statement for each set of params in $parameters.
Because $params is bound to $stmt, as the values are changed, the
new values are used in the subsequent execution. */
foreach( $parameters as $params)
{
list($orderId, $qty, $prodId, $specialOfferId, $price) = $params;
if( sqlsrv_execute($stmt) === false )
{
echo "Statement could not be executed.\n";
die( print_r( sqlsrv_errors(), true));
}
else
{
/* Verify that the row was successfully inserted. */
echo "Rows affected: ".sqlsrv_rows_affected( $stmt )."\n";
}
}
/* Free statement and connection resources. */
sqlsrv_free_stmt( $stmt);
sqlsrv_close( $conn);
?>
См. также:
Вопросы безопасности по драйверам Майкрософт для PHP для SQL Server
Обратная связь
Ожидается в ближайшее время: в течение 2024 года мы постепенно откажемся от GitHub Issues как механизма обратной связи для контента и заменим его новой системой обратной связи. Дополнительные сведения см. в разделе https://aka.ms/ContentUserFeedback.
Отправить и просмотреть отзыв по