TA貢獻1757條經驗 獲得超8個贊
與幾乎所有“我如何從PHP中執行SQL”問題一樣 - 您確實應該使用預準備語句。這并不難：
$ids = array(2, 4, 6, 8);
// prepare an SQL statement with a single parameter placeholder
$sql = "UPDATE MyTable SET LastUpdated = GETDATE() WHERE id = ?";
$stmt = $mysqli->prepare($sql);
// bind a different value to the placeholder with each execution
for ($i = 0; $i < count($ids); $i++)
{
$stmt->bind_param("i", $ids[$i]);
$stmt->execute();
echo "Updated record ID: $id\n";
}
// done
$stmt->close();
或者，您可以這樣做：
$ids = array(2, 4, 6, 8);
// prepare an SQL statement with multiple parameter placeholders
$params = implode(",", array_fill(0, count($ids), "?"));
$sql = "UPDATE MyTable SET LastUpdated = GETDATE() WHERE id IN ($params)";
$stmt = $mysqli->prepare($sql);
// dynamic call of mysqli_stmt::bind_param hard-coded eqivalent
$types = str_repeat("i", count($ids)); // "iiii"
$args = array_merge(array($types), $ids); // ["iiii", 2, 4, 6, 8]
call_user_func_array(array($stmt, 'bind_param'), ref($args)); // $stmt->bind_param("iiii", 2, 4, 6, 8)
// execute the query for all input values in one step
$stmt->execute();
// done
$stmt->close();
echo "Updated record IDs: " . implode("," $ids) ."\n";
// ----------------------------------------------------------------------------------
// helper function to turn an array of values into an array of value references
// necessary because mysqli_stmt::bind_param needs value refereces for no good reason
function ref($arr) {
$refs = array();
foreach ($arr as $key => $val) $refs[$key] = &$arr[$key];
return $refs;
}
根據需要為其他字段添加更多參數占位符。
哪一個選？
第一個變體迭代地使用可變數量的記錄，多次命中數據庫。這對UPDATE和INSERT操作最有用。
第二種變體也可以使用可變數量的記錄，但它只能訪問數據庫一次。這比迭代方法更有效，顯然你只能對所有受影響的記錄做同樣的事情。這對SELECT和DELETE操作最有用，或者當您想要使用相同數據更新多個記錄時。
為何準備好陳述？
準備好的語句更安全，因為它們不可能使SQL注入攻擊。這是使用預準備語句的主要原因，即使編寫它們的工作量更大。一個明智的習慣是：即使你認為“不是真的有必要”，也要使用準備好的陳述。忽視會來咬你（或你的客戶）。
使用不同的參數值多次重復使用相同的預準備語句比將多個完整的SQL字符串發送到數據庫更有效，因為數據庫只需要編譯一次語句并且也可以重復使用它。
只有參數值被發送到數據庫execute()，因此重復使用時需要更少的數據通過線路。
在較長的循環中，使用預準備語句和發送純SQL之間的執行時間差異將變得明顯。
TA貢獻1805條經驗 獲得超9個贊
你可能會追求什么
$ids = array(2,4,6,8);$ids = implode($ids);$sql="SELECT * FROM my_table WHERE id IN($ids);";mysql_query($sql);
否則，出了什么問題
$ids = array(2,4,6,8);foreach($ids as $id) {
$sql="SELECT * FROM my_table WHERE ID = $id;";
mysql_query($sql);}
TA貢獻1900條經驗 獲得超5個贊
$values_filtered = array_filter('is_int', $values);if (count($values_filtered) == count($values)) {
$sql = 'update table set attrib = 'something' where someid in (' . implode(',', $values_filtered) . ');';
//execute} else {
//do something}舉報