База данных mySQL - как правильно подключиться и сделать запрос?

Не то =)

но с pdo это выглядело бы как то так.

PHP:

1. $dpo = new PDO('mysql:host=localhost;dbname=test', $user, $pass);
2. $sql = "UPDATE test SET imja=?, familija=? WHERE id=?";
3. $stmt = $dpo->prepare($sql);
4. $stmt->execute([$imja, $familija, $id]);
5. $sth= $pdo->prepare('SELECT * FROM test where id= ?');
6. $sth->execute([$id]);
7. $r = $sth->fetch(PDO::FETCH_OBJ);

и да, я только учусь, ждус правильного ответа =)

 

Тогда зачем ты отнимаешь наше время?

 

Вот по безопасности ,коротко и ясно =)

http://phpfaq.ru/safemysql
--- Добавлено ---
А если есть время читать , то тут разжевано, но я сам не дочитал =)
http://phpfaq.ru/pdo
--- Добавлено ---
Ну и чтоб подвести итог, существует только ваш личный придуманный пацанский метод (это я про класс). Все остальное это чужой непонятный код =)

 

вот тут
я думал ты опытный дядя

я вот этим классом пользуюсь.
вот так будет выглядеть:

PHP:

1. $db = new db("localhost", "user", "password", "database");
2. $db->query("UPDATE `test` SET `imja`='".$db->escape($imja)."', `familia`='".$db->escape($familia)."' WHERE `id`=".(int)$id);
3. $rows = $db->query("SELECT * FROM `test` WHERE `id`=".(int)$id)->rows;

 

@TeslaFeo, у него опыт на качество не оч. влияет.

@miltorg, уберите вывод в форму из обработчика. Его нужно делать после редиректа. При выводе нужно выполнять HTML-кодирование – тоже важный элемент защиты. Ну и плюс то, о чем в пред. посте написали.
--- Добавлено ---
Что касается осн. вопроса, выбирайте между двумя вариантами. mkramer написал, на что прежде всего следует обращать внимание. PDO – это универсальность в выборе БД (по большому счету нафиг не нужна), именованные параметры в подготовленных запросах (на любителя), ну и поддержка исключений.

 

Я не знаю, что такое PDO (я новенький в PHP), но я не думаю, что PDO волшебным образом защитит от SQL injection. Я думаю, что ув. MouseZver имел в виду, что переданные пользователем данные надо передавать в запрос через параметры вместо того, чтобы генерить запрос на лету, тогда это будет безопасно.

Пусть в Вашей форме (1-е сообщение в топике) я в качестве фамилии укажу:

Код (Text):

1. ';DELETE FROM test;

Ну вот такая у меня фамилия. Тогда в Вашем варианте Вы выполните запрос

Код (Text):

1. UPDATE test SET imja='$imja', familija='';DELETE FROM test;

В варианте же ув.MouseZver Вы выполняете совсем другой запрос:

Код (Text):

1. UPDATE test SET imja=?, familiya=? WHERE id=?

, и что бы я ни написал вместо своей фамилии, Вашу базу данных это не сломает.

Т.е. дело не в том, что PDO волшебно-безопасен, а в передачи пользовательских данных в параметрах к SQL-запросу против формирования запроса на лету.

 

Подготовленный запрос посылается на сервер БД для готовности принятия данных. После подготовки приходит сигнал о готовности, либо ошибка. Если ок - только тогда посылаются отдельно данные с идентификатором запроса на сервер по подготовленному там алгоритму вставки в строку. Поэтому это и есть единственный, 100% способ по защите SQL инъекции первого порядка.

PDO медленнее в среднем на 6% чем MySQLi. Зависит от запроса. Почему? эмуляция / исполнимость самого инструмента. Поэтому лично отдаю предпочтение обверткам.

PHP:

1. public function binding( array ...$binding )
2.     {
3.         $count = count ( $binding[0] );
4.      
5.         $for = ( array ) implode ( '', array_map ( function ( $arg )
6.         {
7.             if ( !in_array ( $type = gettype ( $arg ), [ 'integer', 'double', 'string' ] ) )
8.             {
9.                 throw new Error( 'Invalid type ' . $type );
10.             }
11.          
12.             return $type[0];
13.         },
14.         $binding[0] ) );
15.  
16.         for ( $i = 0; $i < $count; $for[] = &${ 'bind_' . $i++ } ){}
17.      
18.         ( new \ReflectionMethod( 'mysqli_stmt', 'bind_param' ) ) -> invokeArgs( $this -> lerma -> statement, $for );
19.  
20.         foreach ( $binding AS $items )
21.         {
22.             $items = $this -> lerma -> executeHolders( $items );
23.          
24.             extract ( $items, EXTR_PREFIX_ALL, 'bind' );
25.          
26.             $this -> lerma -> statement -> execute();
27.         }
28.      
29.      
30.     }

--- Добавлено ---

По безопасности - лишь. В остальном это хорошая жвачка для новичком. Пока не столкнуться в необходимости расширенных стилей проверки/выводимости информации с БД.
--- Добавлено ---

PHP:

1. $dpo = new PDO('mysql:host=localhost;dbname=test', $user, $pass);
2.  
3. $stmt = $dpo->prepare( 'UPDATE test SET imja=?, familija=? WHERE id=?' );
4.  
5. $items = [ [...], [...], [...], [...], [...] ];
6.  
7. foreach ( $items AS $item )
8. {
9.    $stmt->execute( $item );
10. }

 

По поводу быстродействия pdo. Чувак писал что подобный запрос с 50000 записей у него занял примерно 3 секунды

PHP:

1. <?php
2. $data = array(
3.   array('name' => 'John', 'age' => '25'),
4.   array('name' => 'Wendy', 'age' => '32')
5. );
6.  
7. $insertStatement = $pdo->prepare('insert into mytable (name, age) values (:name, :age)');
8.  
9. // start transaction
10. $pdo->beginTransaction();
11.  
12. foreach($data as &$row) {
13.   $insertStatement->execute($row);
14. }
15.  
16. // end transaction
17. $pdo->commit();
18.  
19. ?>

 

--- Добавлено ---
Тот чувак после не забыл провести тест с Mysqli ?

 

Плюсадин. Единственная цифра "3 секунды на 5000 строк" не дает ничего. Я могу придумать ситуацию, когда добавление одной строки полчаса займет.

 

3 сек для одного запроса это очень много
а 50к записей не очень много
--- Добавлено ---

пожалуй, просто "не много")

 

Я всегда считал что 3 секунды это быстро, пойду жену обрадую =))

Я же не мерюсь тут ничем, просто пример показал =)

 

поэтому смешиваешь логику по безопасности с логикой по разрешенному алфавиту для логина/никнейма

 

потому что нужно пользоваться встроенными инструментами, если они есть

а к твоему способу у меня куча вопросов даже при том, что я регулярки знаю очень плохо

 

\W [^\w] любой символ, кроме цифры, буквы или знака подчеркивания
не помеха

 

ну если он прям вот так на продакшоне, то это полная дич