PDO数据访问抽象层

PDO数据访问抽象层：

我们使用的mysqli是针对mysql这个数据库扩展的一个类，如果要用到别的数据库的话就可以用PDO来做

1.操作数据库

先来代码

<!--PDO-->
<!--数据访问抽象层-->
<!--可以访问其他数据库-->
<!--具有事务功能-->
<!--带有预处理语句功能（防止sql注入攻击功能）-->
<?php
//1.造PDO对象
$dsn = "mysql:dbname=heiheihei;host=localhost";
//冒号前面的是驱动名称（mysql），后面是参数：dbname=连接哪一个数据库；连接到本机
$pdo = new PDO($dsn,"root","12345678");
//root（数据库用户名，密码）

//2.写sql语句
$sql = "select * from mydb";
//查询语句


//3.执行sql语句
//$stm = $pdo->query($sql);
//执行查询语句


//4.从PDOStatement对象里面读取数据
//$arr = $stm->fetch(PDO::FETCH_ASSOC);
//返回关联数组，即返回一个索引为结果集列名的数组
//$arr = $stm->fetch(PDO::FETCH_BOTH);
//关联加索引，即返回一个索引为结果集列名和以0开始的列号的数组
//$arr = $stm->fetch(PDO::FETCH_NUM);
//返回索引的数组,即返回一个索引为以0开始的结果集列号的数组
//$arr = $stm->fetch(PDO::FETCH_OBJ);
//返回一个属性名对应结果集列名的匿名对象

//缺省为 PDO::ATTR_DEFAULT_FETCH_MODE 的值，即默认

//如果是PDOStatement::fetchAll，即代表一次性读出所有数据




var_dump($arr);
?>

输出：

调用一下fetch里面的参数为 PDO::FETCH_ASSOC

输出attr，则返回一个索引为结果集列名的数组：

调用一下fetch里面的参数为 PDO::FETCH_NUM

输出attr，则返回一个索引为结果集列名和以0开始的列号的数组：

调用一下fetch里面的参数为 PDO::FETCH_OBJ

输出attr，则返回一个属性名对应结果集列名的匿名对象：

改为fetchALL(PDO::FETCH_OBJ)也可以，它是把所有数据都可以查到：

用PDO来做个添加语句：

<?php
//1.造PDO对象
$dsn = "mysql:dbname=heiheihei;host=localhost";
//冒号前面的是驱动名称（mysql），后面是参数：dbname=连接哪一个数据库；连接到本机
$pdo = new PDO($dsn,"root","12345678");
//root（数据库用户名，密码）

//2.写sql语句

$sql = "insert into mydb VALUES ('虾','123','小虾',0)";
//增删改语句

//3.执行sql语句

$arr = $pdo->exec($sql);
//执行添加语句，exec返回影响的行数

//4.从PDOStatement对象里面读取数据
var_dump($arr);
?>

exec是用来执行其他语句，他返回的是受影响的行数

图：

显示了一个1，证明影响了1行数据；

如果失败了，运行后会显示0

再看一下，数据库内，已经添加成功：

2.事务功能

事务功能即能够控制语句同时成功或同时失败，失败时可以回滚

事务有三个基本的方法：

PDO::beginTransaction() - 启动一个事务：将下面的代码看作一个事务

commit - 提交事务：是将开始和提交中间的代码看作一个事务一起执行提交

PDO::rollBack() - 回滚一个事务：如果有问题就回滚，没有问题就不用回滚，回滚就是还原

代码：

<?php
$dsn = "mysql:dbname = mydb;host=localhost";
//数据源
$pdo = new PDO($dsn,"root","123");
//造对象


//改事务模式

//1.将PDO的错误类型设为异常模式（PDO::ATTR_ERRMODE，PDO::ERRMODE_EXCEPTION ）
$pdo->setAttribute(PDO::ATTR_ERRMODE,PDO::ERRMODE_EXCEPTION);

//try尝试运行里面代码
try {
//开启事务
    $pdo->beginTransaction();

    $sql = "insert into mydb VALUES ('西','123','小西',0)";
    $sqll = "insert into mydb VALUES ('虾','123','小虾',0)";

    $pdo->exec($sql);
    $pdo->exec($sqll);

//提交事务
    $pdo->commit();
}

//catch抓住异常.控制异常。$e代表异常的数值
catch(Exception $e)
{
//    echo "有错误";

    //回滚操作！！！
    //如果发现有错误，回滚rollback！
    $pdo->rollBack();
}

//最终执行，必执行
//final
//{
   //无论有没有一场出现，该代码都会执行
//}
?>

在我的数据库里面帐号是主键

西是可以添加上的，但是虾有重复是加不上的，因为有事务功能，要么一起成功，要么一起失败，所以这两条数据都不会成功

运行完成，查看数据库：

果然一条都没有成功！

如果把虾改成对的：

 $sql = "insert into mydb VALUES ('西','123','小西',0)";
    $sqll = "insert into mydb VALUES ('东','123','小东',0)";

一起添加成功！！

3.预处理语句防止SQL注入:

他是分两次来发送到输出，就不会出现注入攻击了

（1）占位符“？”方法：

<?php


$dsn = "mysql:dbname=heiheihei;host=localhost";
$pdo = new PDO($dsn,"root","12345678");

//框架
$sql = "insert into mmaa VALUES (?,?)";
//写一个预处理语句，在写参数的地方用占位符“？”代替

    //将预处理语句扔到服务器等待执行，返回PDOStatomont对象;prepare准备,等待执行
$stm = $pdo->prepare($sql);

//第二次将变量（参数）扔到服务器的SQl语句相应位置,给预处理语句绑定参数。binparam绑定参数
//第一个参数第二个参数是
$stm->bindParam(1,$id);
$stm->bindParam(2,$name);

//赋值
$id = 5;
$name = "孙";
//执行
$stm->execute();

这是一个添加语句，让我们来看看添加成功

如果数据过多，上面这种方法会极其麻烦，所以还有一种简单方法

<?php


$dsn = "mysql:dbname=heiheihei;host=localhost";
$pdo = new PDO($dsn,"root","12345678");

//框架
$sql = "insert into mmaa VALUES (?,?)";
//写一个预处理语句，在写参数的地方用占位符“？”代替

    //将预处理语句扔到服务器等待执行，返回PDOStatomont对象;prepare准备,等待执行
$stm = $pdo->prepare($sql);


//定义一个数组,必须是索引数组
$arr = aarray("8","邵");

//执行
$stm->execute($arr);

这上面的这种方法很智能，并且很简便，它可以自动把参数仍到该扔到的地方

（2）名称占位法...

这种方法一目了然，知道该填什么参数

代码：

首先我设一个添加的页面：

<body>
<h1>添加一条数据</h1>
<form action="bbb.php" method="post">
<div>id：<input type="text" name="id"/></div>
    <div>姓名：<input type="text" name="name"/></div>
    <input type="submit" value="点击添加"/>
</form>

</body>

然后我去做处理页面：

<?php
$dsn = "mysql:dbname=heiheihei;host=localhost";
$pdo = new PDO($dsn,"root","12345678");

//预处理语句,括号里不是？了
$sql = "insert into mmaa VALUES (:id,:name)";
$stm = $pdo->prepare($sql);

//执行，$_post里面有id跟name的值，所以直接把post扔进去就好了
$stm->execute($_POST);

添加图：

点击添加，查看数据库：

添加成功了，代码量非常少

PDO常用方法及其应用

PDO::query() 主要是用于有记录结果返回的操作，特别是SELECT操作
PDO::exec() 主要是针对没有结果集合返回的操作，如INSERT、UPDATE等操作
PDO::prepare() 主要是预处理操作，需要通过$rs->execute()来执行预处理里面的SQL语句，这个方法可以绑定参数，功能比较强大（防止sql注入就靠这个）
PDO::lastInsertId() 返回上次插入操作，主键列类型是自增的最后的自增ID
PDOStatement::fetch() 是用来获取一条记录
PDOStatement::fetchAll() 是获取所有记录集到一个集合
PDOStatement::fetchColumn() 是获取结果指定第一条记录的某个字段，缺省是第一个字段
PDOStatement::rowCount() :主要是用于PDO::query()和PDO::prepare()进行DELETE、INSERT、UPDATE操作影响的结果集，对PDO::exec()方法和SELECT操作无效。

防注入攻击原理：

当调用 prepare() 时，查询语句已经发送给了数据库服务器，此时只有占位符 ? 发送过去，没有用户提交的数据；当调用到 execute()时，用户提交过来的值才会传送给数据库，他们是分开传送的，两者独立的，SQL攻击者没有一点机会。