CHNP vs MYSQLI, Przygotowane parametry i parametry wiązania

Question

Mam to pytanie, aby wyjaśnić. Czytałem trochę dokumentacji i komentarzy, ale wciąż coś jest po prostu mało jasne.

• Rozumiem, że PDO oferuje więcej sterowników, co z pewnością jest plusem, jeśli kiedykolwiek zmieniłbyś swój typ bazy danych.
• Jak powiedział na innym stanowisku, PDO robi oferują prawdziwe przygotowanych sprawozdań, ale mysqli ma więc byłoby bezpieczniejsze w użyciu mysqli
• Benchmarki wygląda podobnie (nie testowałem go samodzielnie, ale sprawdził się po internecie przez kilka benchmarków)
• Orientacja obiektowa nie stanowi dla mnie problemu, ponieważ program mysqli nadrabia zaległości. Ale byłoby miło porównać procedurę mysqli z ChNP, ponieważ procedura powinna być nieco szybsza.

Ale oto moje pytanie, z przygotowanym oświadczeniem, czy musimy używać wiązania parametrów z danymi, których używamy w naszym oświadczeniu? dobra praktyka czy trzeba? Rozumiem, że przygotowane instrukcje są dobre pod względem perfermancji, jeśli wielokrotnie uruchamiasz to samo zapytanie, ale czy wystarczy samo zabezpieczenie kwerendy? lub wiążące parametry to konieczność? Czym dokładnie są parametry wiązania i jak to działa, aby chronić dane przed iniekcją sql? Byłoby to również docenione, jeśli wskażesz jakiekolwiek nieporozumienie dotyczące stwierdzeń, które przedstawiłem powyżej.

dzięki

Answer 1

W skrócie,

• Oprawa jest koniecznością, będąc podstawą ochrony, niezależnie od tego czy jest ona obsługiwana przez native kierowcy lub nie. Ważna jest idea substytucji.
• Różnica jest znikoma zarówno pod względem bezpieczeństwa, jak i wydajności, z wyjątkiem przypadków kilku krawędzi.
• Wydajność to ostatnia rzecz do rozważenia. Nie ma NO API, który jest znacznie wolniejszy niż inne. Nie jest to klasa lub funkcja, która może powodować jakiekolwiek problemy z wydajnością, ale manipulację danymi lub zły algorytm. Zoptymalizuj swoje zapytania - istnieje DROGA do przejścia - nie zwykłe funkcje do ich wywoływania.
• Jeśli zamierzasz używać surowego API, to PDO jest jedynym wyborem. Będąc opakowanym w wyższą klasę, mysqli wydaje się bardziej odpowiedni dla mysql.
• Zarówno mysqli, jak i PDO nie mają powiązania z ważnymi literałami, które programista musi napisać, patrz na przykład: safeMysql.