prepared-statement 相关问题

Prepared Statement（或参数化语句）是一种预编译的SQL语句，用于提高性能并减轻SQL注入攻击。准备语句用于许多流行的关系数据库管理系统。

我在检查更新 PostgreSQL 中的表的条件时遇到此问题。它必须检查用户是否下载过一次，如果是，则在访问中添加+1。我在检查更新 PostgreSQL 中的表的条件时遇到此问题。它必须检查用户是否下载过一次，如果是，则在 acessos 中添加 +1。 <?php $result2 = pg_query("SELECT * from downloads WHERE (nome = $_POST[nome_download] AND email = $_POST[email_download])"); if (pg_num_rows($result2) == 0){ $result = pg_query("INSERT INTO downloads (nome, email, estado, arquivo, acessos) VALUES ('$_POST[nome_download]','$_POST[email_download]','$_POST[estado_download]','$_SESSION[nome_arquivo_download]','1')"); }else{ $arr[acessos] = $arr[acessos] + 1; $result = pg_query("UPDATE downloads SET acessos = $arr[acessos] WHERE (nome = $_POST[nome_download] AND email = $_POST[email_download])"); } if (!$result){ echo "Não foi possível realizar o cadastro. Tente fazer o download mais tarde."; } else { echo "soft_bd"; pg_close(); } ?> 您指的是$arr，但从您发布的代码中并不清楚它的分配位置。不管怎样，如果你想将 acessos 的当前值增加 1，这种方法在多用户环境中是完全不安全的。您也完全接受SQL注入。请改用准备好的语句。自 Postgres 9.5 (!) 起，您可以使用 UPSERT 实现在单个语句中完成此操作INSERT ... ON CONFLICT ... DO UPDATE。需要对 UNIQUE 进行 PRIMARY KEY 或 (nome, email) 约束： $sql = 'INSERT INTO downloads AS d (nome, email, estado, arquivo, acessos) VALUES ($1, $2, $3, $4, 1) ON CONFLICT ON (nome, email) DO UPDATE SET acessos = excluded.acessos + 1'; 对于重复调用，您可以使用 pg_prepare 和 pg_execute。对于单个呼叫，请使用 pg_query_params: pg_query_params($sql, array($_POST[nome_download] , $_POST[email_download] , $_POST[estado_download] , $_SESSION[nome_arquivo_download]));

php postgresql if-statement prepared-statement upsert

回答 1 投票 0

为批量 INSERT 查询绑定参数？（避免SQL注入）

我想从 Excel 文件中进行一些大规模数据库填充。最省时的方法是使用 INSERT INTO 语句，将大量值存储在一个事务中：插入 `分类`(`id`,...

php yii prepared-statement sql-injection bulkinsert

回答 2 投票 0

如何将多个参数绑定到 PHP 准备好的语句？

“从 dbTable WHERE code = ? AND CURDATE() BETWEEN 中选择 id 作为 Id 开始日期 AND 结束日期 AND OfferId IN ('12321', '12124')"; //传递查询参数 $args = array_merge(数组...

php mysql prepared-statement

回答 1 投票 0

Java JDBC 准备好的语句最大参数标记

我正在使用具有 2000 多个参数标记的PreparedStatement 构建一个大型数据库调用。我收到这个错误引起原因：java.sql.SQLException：准备好的或可调用的语句超过 2000