Dukungan PDO untuk beberapa kueri (PDO_MYSQL, PDO_MYSQLND)

Saya tahu bahwa PDO tidak mendukung banyak kueri yang dieksekusi dalam satu pernyataan. Saya telah Googleing dan menemukan beberapa posting yang berbicara tentang PDO_MYSQL dan PDO_MYSQLND.

PDO_MySQL adalah aplikasi yang lebih berbahaya daripada aplikasi MySQL tradisional lainnya. MySQL tradisional hanya mengizinkan satu kueri SQL. Di PDO_MySQL tidak ada batasan seperti itu, tetapi Anda berisiko disuntik dengan banyak kueri.

Dari: Perlindungan terhadap SQL Injection menggunakan PDO dan Zend Framework (Juni 2010; oleh Julian)

Sepertinya PDO_MYSQL dan PDO_MYSQLND memang menyediakan dukungan untuk beberapa kueri, tetapi saya tidak dapat menemukan informasi lebih lanjut tentang mereka. Apakah proyek ini dihentikan? Apakah sekarang ada cara untuk menjalankan banyak query menggunakan PDO.

Seperti yang saya tahu, PDO_MYSQLNDdiganti PDO_MYSQLdengan PHP 5.3. Bagian yang membingungkan adalah nama itu diam PDO_MYSQL. Jadi sekarang ND adalah driver default untuk MySQL + PDO.

Secara keseluruhan, untuk menjalankan beberapa kueri sekaligus, Anda membutuhkan:

• PHP 5.3+
• mysqlnd
• Meniru pernyataan yang disiapkan. Pastikan PDO::ATTR_EMULATE_PREPARESdiatur ke 1(default). Alternatifnya, Anda dapat menghindari penggunaan pernyataan yang disiapkan dan digunakan $pdo->execsecara langsung.

Menggunakan exec

$db = new PDO("mysql:host=localhost;dbname=test", 'root', '');

// works regardless of statements emulation
$db->setAttribute(PDO::ATTR_EMULATE_PREPARES, 0);

$sql = "
DELETE FROM car; 
INSERT INTO car(name, type) VALUES ('car1', 'coupe'); 
INSERT INTO car(name, type) VALUES ('car2', 'coupe');
";

$db->exec($sql);

Menggunakan pernyataan

$db = new PDO("mysql:host=localhost;dbname=test", 'root', '');

// works not with the following set to 0. You can comment this line as 1 is default
$db->setAttribute(PDO::ATTR_EMULATE_PREPARES, 1);

$sql = "
DELETE FROM car; 
INSERT INTO car(name, type) VALUES ('car1', 'coupe'); 
INSERT INTO car(name, type) VALUES ('car2', 'coupe');
";

$stmt = $db->prepare($sql);
$stmt->execute();

Sebuah catatan:

Saat menggunakan pernyataan siap yang diemulasi, pastikan Anda telah menyetel pengkodean yang tepat (yang mencerminkan pengkodean data aktual) di DSN (tersedia sejak 5.3.6). Jika tidak, ada kemungkinan kecil untuk injeksi SQL jika beberapa pengkodean aneh digunakan .

Setelah setengah hari mengotak-atik ini, ternyata PDO memiliki bug di mana ...

-

//This would run as expected:
$pdo->exec("valid-stmt1; valid-stmt2;");

-

//This would error out, as expected:
$pdo->exec("non-sense; valid-stmt1;");

-

//Here is the bug:
$pdo->exec("valid-stmt1; non-sense; valid-stmt3;");

Itu akan mengeksekusi "valid-stmt1;", berhenti "non-sense;"dan tidak pernah membuat kesalahan. Tidak akan menjalankan "valid-stmt3;", mengembalikan kebenaran dan berbohong bahwa semuanya berjalan dengan baik.

Saya berharap itu salah "non-sense;"tapi ternyata tidak.

Di sinilah saya menemukan info ini: Permintaan PDO yang tidak valid tidak mengembalikan kesalahan

Berikut bugnya: https://bugs.php.net/bug.php?id=61613

Jadi, saya mencoba melakukan ini dengan mysqli dan belum benar-benar menemukan jawaban yang pasti tentang cara kerjanya jadi saya pikir saya tinggalkan saja di sini untuk mereka yang ingin menggunakannya ..

try{
    // db connection
    $mysqli = new mysqli("host", "user" , "password", "database");
    if($mysqli->connect_errno){
        throw new Exception("Connection Failed: [".$mysqli->connect_errno. "] : ".$mysqli->connect_error );
        exit();
    }

    // read file.
    // This file has multiple sql statements.
    $file_sql = file_get_contents("filename.sql");

    if($file_sql == "null" || empty($file_sql) || strlen($file_sql) <= 0){
        throw new Exception("File is empty. I wont run it..");
    }

    //run the sql file contents through the mysqli's multi_query function.
    // here is where it gets complicated...
    // if the first query has errors, here is where you get it.
    $sqlFileResult = $mysqli->multi_query($file_sql);
    // this returns false only if there are errros on first sql statement, it doesn't care about the rest of the sql statements.

    $sqlCount = 1;
    if( $sqlFileResult == false ){
        throw new Exception("File: '".$fullpath."' , Query#[".$sqlCount."], [".$mysqli->errno."]: '".$mysqli->error."' }");
    }

    // so handle the errors on the subsequent statements like this.
    // while I have more results. This will start from the second sql statement. The first statement errors are thrown above on the $mysqli->multi_query("SQL"); line
    while($mysqli->more_results()){
        $sqlCount++;
        // load the next result set into mysqli's active buffer. if this fails the $mysqli->error, $mysqli->errno will have appropriate error info.
        if($mysqli->next_result() == false){
            throw new Exception("File: '".$fullpath."' , Query#[".$sqlCount."], Error No: [".$mysqli->errno."]: '".$mysqli->error."' }");
        }
    }
}
catch(Exception $e){
    echo $e->getMessage(). " <pre>".$e->getTraceAsString()."</pre>";
}

Pendekatan cepat dan kotor:

function exec_sql_from_file($path, PDO $pdo) {
    if (! preg_match_all("/('(\\\\.|.)*?'|[^;])+/s", file_get_contents($path), $m))
        return;

    foreach ($m[0] as $sql) {
        if (strlen(trim($sql)))
            $pdo->exec($sql);
    }
}

Perpecahan pada titik akhir pernyataan SQL yang wajar. Tidak ada pemeriksaan kesalahan, tidak ada perlindungan injeksi. Pahami penggunaan Anda sebelum menggunakannya. Secara pribadi, saya menggunakannya untuk menyemai file migrasi mentah untuk pengujian integrasi.

Seperti ribuan orang, saya mencari pertanyaan ini:
Dapat menjalankan beberapa kueri secara bersamaan, dan jika ada satu kesalahan, tidak ada yang akan berjalan Saya membuka halaman ini di mana-mana
Tetapi meskipun teman-teman di sini memberikan jawaban yang baik, jawaban ini tidak baik untuk masalah saya
Jadi saya menulis sebuah fungsi yang bekerja dengan baik dan memiliki hampir tidak ada masalah dengan Injection sql.
Mungkin berguna bagi mereka yang mencari pertanyaan serupa jadi saya taruh di sini untuk digunakan

function arrayOfQuerys($arrayQuery)
{
    $mx = true;
    $conn->beginTransaction();
    try {
        foreach ($arrayQuery AS $item) {
            $stmt = $conn->prepare($item["query"]);
            $stmt->execute($item["params"]);
            $result = $stmt->rowCount();
            if($result == 0)
                $mx = false;
         }
         if($mx == true)
             $conn->commit();
         else
             $conn->rollBack();
    } catch (Exception $e) {
        $conn->rollBack();
        echo "Failed: " . $e->getMessage();
    }
    return $mx;
}

untuk digunakan (contoh):

 $arrayQuery = Array(
    Array(
        "query" => "UPDATE test SET title = ? WHERE test.id = ?",
        "params" => Array("aa1", 1)
    ),
    Array(
        "query" => "UPDATE test SET title = ? WHERE test.id = ?",
        "params" => Array("bb1", 2)
    )
);
arrayOfQuerys($arrayQuery);

dan koneksi saya:

    try {
        $options = array(
            //For updates where newvalue = oldvalue PDOStatement::rowCount()   returns zero. You can use this:
            PDO::MYSQL_ATTR_FOUND_ROWS => true
        );
        $conn = new PDO("mysql:host=$servername;dbname=$database", $username, $password, $options);
        $conn->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);
    } catch (PDOException $e) {
        echo "Error connecting to SQL Server: " . $e->getMessage();
    }

Catatan:
Solusi ini membantu Anda menjalankan beberapa pernyataan bersama-sama,
Jika terjadi pernyataan yang salah, itu tidak mengeksekusi pernyataan lain

Mencoba kode berikut

 $db = new PDO("mysql:host={$dbhost};dbname={$dbname};charset=utf8", $dbuser, $dbpass, array(PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION));

Kemudian

 try {
 $db->query('SET NAMES gbk');
 $stmt = $db->prepare('SELECT * FROM 2_1_paidused WHERE NumberRenamed = ? LIMIT 1');
 $stmt->execute(array("\xbf\x27 OR 1=1 /*"));
 }
 catch (PDOException $e){
 echo "DataBase Errorz: " .$e->getMessage() .'<br>';
 }
 catch (Exception $e) {
 echo "General Errorz: ".$e->getMessage() .'<br>';
 }

Dan mendapatkan

DataBase Errorz: SQLSTATE[42000]: Syntax error or access violation: 1064 You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near '/*' LIMIT 1' at line 1

Jika ditambahkan $db->setAttribute(PDO::ATTR_EMULATE_PREPARES, false);setelah$db = ...

Lalu mendapat halaman kosong

Jika malah SELECTdicoba DELETE, maka dalam kedua kasus tersebut mendapat error seperti

 DataBase Errorz: SQLSTATE[42000]: Syntax error or access violation: 1064 You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near '* FROM 2_1_paidused WHERE NumberRenamed = '¿\' OR 1=1 /*' LIMIT 1' at line 1

Jadi kesimpulan saya bahwa suntikan tidak mungkin ...

Coba fungsi ini: beberapa kueri dan beberapa nilai penyisipan.

function employmentStatus($Status) {
$pdo = PDO2::getInstance();

$sql_parts = array(); 
for($i=0; $i<count($Status); $i++){
    $sql_parts[] = "(:userID, :val$i)";
}

$requete = $pdo->dbh->prepare("DELETE FROM employment_status WHERE userid = :userID; INSERT INTO employment_status (userid, status) VALUES ".implode(",", $sql_parts));
$requete->bindParam(":userID", $_SESSION['userID'],PDO::PARAM_INT);
for($i=0; $i<count($Status); $i++){
    $requete->bindParam(":val$i", $Status[$i],PDO::PARAM_STR);
}
if ($requete->execute()) {
    return true;
}
return $requete->errorInfo();
}

PDO mendukung ini (per 2020). Lakukan saja panggilan query () pada objek PDO seperti biasa, pisahkan kueri dengan; dan kemudian nextRowset () untuk melangkah ke hasil SELECT berikutnya, jika Anda memiliki beberapa. Hasil akan memiliki urutan yang sama dengan kueri. Jelas pikirkan tentang implikasi keamanan - jadi jangan terima kueri yang disediakan pengguna, gunakan parameter, dll. Saya menggunakannya dengan kueri yang dihasilkan oleh kode misalnya.

$statement = $connection->query($query);
do {
  $data[] = $statement->fetchAll(PDO::FETCH_ASSOC);
} while ($statement->nextRowset());