Lesson 07

Раздел 7:
MySQL и PHP
План вебинара
– поддержка MySQL в PHP


– подключение к БД из PHP-сценария

– выполнение SQL-запросов

– получение результата запроса из MySQL

– обработка ошибок

– безопасность при выполнении запросов

– подготовленные выражения

– подготовленные выражения
– интерактивные демонстрации
Поддержка MySQL в PHP
полноценная работа с СУБД MySQL внутри PHP-
сценариев
Что такое mysqli
mysqli (MySQL Improved) – расширение PHP, которое добавляет в  
язык полную поддержку работы с СУБД MySQL
http://php.net/manual/ru/book.mysqli.php
Что такое mysqli
mysqli (MySQL Improved) – расширение PHP, которое добавляет в  
язык полную поддержку работы с СУБД MySQL
Особенности mysqli:
• реализует семейство функций mysqli_
• поддерживает все возможности MySQL
• хорошая производительность
http://php.net/manual/ru/book.mysqli.php
Схема работы с MySQL
Установить подключение к серверу

Проверить успешность подключения

Сформировать SQL-запрос
Выполнить SQL-запрос
Выполнить SQL-запрос
Получить и обработать результат

выполнения запроса
Установить подключение к
MySQL
Получить ресурс
соединения
нет Соединение
успешно?
Показать ошибку
Сформировать SQL запрос
Выполнить SQL запрос
нет Результат да
успешен?
Показать ошибку Запрос на

чтение?
Итерация по полученным
результатам
Подключение к MySQL
В PHP сценарии перед выполнением любых SQL запросов необходимо  
установить подключение к MySQL
В PHP сценарии перед выполнением любых SQL запросов необходимо  
установить подключение к MySQL
Что необходимо знать:

хост – адрес, где находится сервер
логин – имя пользователя для подключения
пароль – пароль пользователя
база данных – имя базы данных для работы
Информация для подключения
Параметр Значение Примечания
По умолчанию, MySQL устанавливается на тот же

хост localhost компьютер
Пользователь с максимальными правами.  

логин root
Создается вместе с установкой СУБД
Пароль либо пустая строка, либо задается

пароль <пустая строка>
пользователем при установке
база данных Необязательный параметр

Используйте функцию mysqli_connect, чтобы выполнить  
подключение к MySQL
Синтаксис
mysqli_connect(<хост>, <пользователь>, <пароль>, <бд>);

Синтаксис
mysqli_connect(<хост>, <пользователь>, <пароль>, <бд>);
Использование
<?php
$con = mysqli_connect("localhost", "root", "","giftube");
Проверка подключения
Всегда необходимо проверять успешность
соединения с MySQL перед продолжением работы
Проверка подключения
Всегда необходимо проверять успешность
соединения с MySQL перед продолжением работы
Что может пойти не так:

• неверные параметры подключения
• сервер СУБД недоступен или перегружен
• нет связи
• ограничение доступа администратором
Пример проверки подключения
<?php
$con = mysqli_connect("localhost", "root", "", "giftube");
 
if ($con == false) {
print("Ошибка подключения: " . mysqli_connect_error());
}
else {
print("Соединение установлено");
// выполнение запросов
}
Ресурс соединения
<?php
 
}
else {
print("Соединение установлено");
}
<?php
 
}
else {
print("Соединение установлено"); Получить текст ошибки подключения
}
Ресурс соединения – это результат выполнения функции mysqli_connect
Ресурс соединения создаётся один раз при подключении к MySQL,  

а затем используется для всех следующих запросов
Выполнение SQL запросов
Два вида запросов
Чтение
• Выполняются для получения 

данных из БД
• Возвращают ресурс результата
• Оператор - SELECT
Чтение Модификация
• Выполняются для получения  • Нужны для обновления,  

данных из БД добавления и удаления записей
• Возвращают ресурс результата • Возвращают true или false
• Оператор - SELECT • Операторы:  

UPDATE, INSERT, DELETE
Добавление новой записи
1. Сформировать SQL запрос

2. Выполнить SQL запрос
3. Проверить результат выполнения
Добавление новой записи
1. Сформировать SQL запрос

2. Выполнить SQL запрос
3. Проверить результат выполнения
SQL запрос для добавления записи
INSERT INTO users  

SET email = 'developer@php.net', password = 'secret'
Выполнение запросов
mysqli_query - функция для выполнения любых SQL запросов
Пример
<?php
 
$sql = "INSERT INTO users SET email = 'developer@php.net', password = 'secret'";
 
$result = mysqli_query($con, $sql);
Пример
<?php
 
$sql = "INSERT INTO users SET email = 'developer@php.net', password = 'secret'";
 
Обработка ошибок
Результат выполнения запроса может завершиться ошибкой
Результат выполнения запроса может завершиться ошибкой
Что может пойти не так:

• некорректный синтаксис SQL запроса
• сервер СУБД недоступен или перегружен
• ограничения таблицы (например, уникальные индексы)
• некорректные данные
Пример
<?php
 
$sql = "INSERT INTO users SET email = 'developer@php.net',
password = 'secret'";
 
 
if (!$result) {
$error = mysqli_error($con);
print("Ошибка MySQL: " . $error);
}
Пример
<?php
 
 
 
if (!$result) {
$error = mysqli_error($con);
print("Ошибка MySQL: " . $error);
}
Возвращает последнюю ошибку  

выполнения SQL запроса
Уникальный идентификатор записи
Идентификатор записи – это её первичный ключ.
Первичный ключ – это особенное поле, в котором сохраняется  

уникальный идентификатор записи.
Первичный ключ нужен, чтобы ссылаться на эту запись.

Получение идентификатора
Пример
<?php
 
 
 
if ($result) {
$last_id = mysqli_insert_id($con);
}
Получение идентификатора
Пример
<?php
 
 
 
if ($result) {
$last_id = mysqli_insert_id($con);
}
Возвращает идентификатор последней  

добавленной записи
Чтение данных из MySQL
Чтение данных из MySQL – это выполнение запросов типа SELECT  
и получение результата
Чтение данных из MySQL
Чтение данных из MySQL – это выполнение запросов типа SELECT  
и получение результата
Последовательность исполнения:
1. Формирование SQL запроса
2. Выполнение запроса
3. Получение объекта результата
4. Преобразование объекта результата  
в двумерный массив
Объект результата
Объект результата – это результат выполнения функции  
mysqli_query при работе с запросами типа SELECT
Объект результата – это не итоговые данные из БД,  

а скорее ссылка на них
Объект результата – это не итоговые данные из БД,  

а скорее ссылка на них
Чтобы получить действительные данные, необходимо  

преобразовать объект результата в массив
SELECT * FROM users
БД
Данные ОР Объект результата
$res = mysqli_query($l, $sql);
$rows = mysqli_fetch_all($res);
Пример получения записей
Пример
<?php
 
$sql = "SELECT id, name FROM categories";
 
$rows = mysqli_fetch_all($result, MYSQLI_ASSOC);
 
foreach ($rows as $row) {
print("Категория: " . $row['name']);
}
Пример
<?php
 
Объект результата $sql);
$result = mysqli_query($con,
 
 
}
Пример
<?php
 
Объект результата $sql);
$result = mysqli_query($con,
 
 
}
Преобразуем объект результата 
в двумерный массив с записями
Получение записей в виде массива
Из объекта результата полученные из БД записи можно  
преобразовать в привычный, двумерный массив
$sql = "SELECT id, name FROM users";

$res = mysqli_query($link, $sql);
$rows = mysqli_fetch_all($res, MYSQLI_ASSOC);

$rows = [
['id' => 1, 'name' => 'frexin'],
['id' => 2, 'name' => 'timon'],
['id' => 3, 'name' => 'daredevil'],
];
Как получить одну запись
Для получения единственной записи из результатов запроса  
в виде ассоциативного массива есть функция mysqli_fetch_assoc

$row = mysqli_fetch_assoc($res);

$row = mysqli_fetch_assoc($res);
$row =
['id' => 1, 'name' => 'frexin'];
Получение количества записей
Количество записей – это сколько записей всего вернет  
выполненный SQL запрос на чтение
Узнать количество записей можно используя  

функцию mysqli_num_rows()
Пример
<?php
 
 
$records_count = mysqli_num_rows($result);
Пример
<?php
 
 
$records_count = mysqli_num_rows($result);
Возвращает количество записей

Перерыв на 10 минут
Безопасность при выполнении запросов
специальная подготовка SQL-запросов, когда в них
участвуют данные, полученные от пользователей
Откуда могут прийти данные
– Из параметров запроса ($_GET)


– Из форм ($_POST)

– Из cookies ($_COOKIES)

– Из HTTP-заголовков

– Из HTTP-заголовков
– Из загруженных файлов
Смешивание кода и данных
SQL-запросы могут формироваться динамически и включать  
в себя данные от пользователя. Например:
1. Добавление в БД информации из формы
2. Подстановка параметра из URL
SELECT * FROM gifs WHERE id = $_GET['id']

Логика запроса
Логика запроса Значения запроса

SQL-инъекция
Что такое SQL-инъекция
SQL-инъекция - это тип уязвимости веб-сайта.
Если не фильтровать внешние данные, который входят в  

состав SQL-запроса, то это даёт хакерам возможность  
поменять его в своих целях.
Если не фильтровать внешние данные, который входят в  

состав SQL-запроса, то это даёт хакерам возможность  
поменять его в своих целях.
SQL инъекция позволяет хакеру выполнить атаку на приложение,  

поменяв SQL запрос
На что способна SQL-инъекция
– удалить все данные из БД


– получить всю информацию (включая пароли)

– поменять информацию выборочно  
(например, сменить пароль администратору)

– раскрыть информацию о сервере


– раскрыть информацию о сервере

– загрузить бэкдор
Пример уязвимости
<?php
$id = $_GET['id'];
$sql = "DELETE FROM gifs WHERE id = '$id'";

Данные для запроса из  

внешних параметров
<?php
$id = $_GET['id'];
$sql = "DELETE FROM gifs WHERE id = '$id'";

Запрос хакера
/del.php?id=2' OR 1=1 --
Итоговый SQL
DELETE FROM gifs WHERE id = '2' OR 1=1 -- '

Хакер подставил в параметр запроса вместо числа строку, которая 

поменяла смысл всего SQL-выражения
Хакер подставил в параметр запроса вместо числа строку, которая 

поменяла смысл всего SQL-выражения
Вместо удаления одной записи с переданным id, модифицированный  

запрос удалил все записи в таблице
Способы защиты
Как защитить свой SQL-запрос от хакеров:
1. принудительно привести значение 
к числовому типу
2. экранировать опасные символы
2. экранировать опасные символы
3. использовать подготовленные  
выражения
Приведение к типу
Часто в SQL запросе ожидается использование числовых значений.
В этом случае имеет смысл принудительно привести значение  
к числовому типу.
DELETE * FROM gifs WHERE id = <ИДЕНТИФИКАТОР>

<?php
$id = intval($_GET['id']);
 
$sql = 'DELETE * FROM gifs WHERE ìd` = ' . $id;
Приводим значение к числу
<?php
$id = intval($_GET['id']);
 
$sql = 'DELETE * FROM gifs WHERE ìd` = ' . $id;
Экранирование данных
Экранирование заменяет все «опасные» символы в строке на  
их «безопасные» аналоги.
Опасные символы – это, в первую очередь, кавычки.
Без экранирования
INSERT INTO categories (text) VALUES ('Я - Д'артаньян')

Без экранирования
INSERT INTO categories (text) VALUES ('Я - Д'артаньян')
После экранирования
INSERT INTO categories (text) VALUES ('Я – Д\'артаньян')

Используйте функцию mysqli_real_escape_string()
для обработки значений в SQL запросах

 
$safe_email = mysqli_real_escape_string($con, $_POST['email']);
 
$sql = "INSERT INTO users
SET èmail` = 'user@ml.ru', `password` = '$safe_email'";

Подготовленные выражения
способ отделить логику SQL-запроса от данных в
нём
Проблема традиционного подхода
SQL-инъекции возможны из за динамического формирования  
запроса на основе данных от пользователя.
Если отправлять значения отдельно от запроса, то  
инъекция будет невозможна.
DELETE FROM gifs WHERE id = '2'

Логика запроса
Логика запроса Значение в запросе

Разделение кода и данных в запросе
Формируем SQL запрос
INSERT INTO users (email, name) VALUES (?, ?)

вместо значений - плейсхолдеры

вместо значений - плейсхолдеры
Готовим данные
$email = $_POST['email'];
$name = $_POST['name'];
Последовательность исполнения
Сформировать SQL запрос с
плейсхолдерами
Отправить запрос в MySQL

Подставить значения в подготовленное

выражение

выражение
Выполнить подготовленное выражение


выражение
Выполнить подготовленное выражение
Обработать результат выполнения запроса

<?php
 
$email = $_POST['email'];
 
$sql = 'INSERT INTO users (name, email) VALUES (?, ?)';
$stmt = mysqli_prepare($con, $sql);
mysqli_stmt_bind_param($stmt, 'ss', $name, $email);
 
mysqli_stmt_execute($stmt);
<?php
 
SQL-запрос с плейсхолдерами 
$email = $_POST['email']; вместо значений
 
$stmt = mysqli_prepare($con, $sql);
 
<?php
 
 
$stmt = mysqli_prepare($con, $sql); Подготавливаем выражение
 
<?php
 
 
 
mysqli_stmt_execute($stmt); Передаем в выражение 
значения от пользователя
<?php
 
 
 
mysqli_stmt_execute($stmt); Передаем в выражение 
значения от пользователя
Выполняем выражение
Помощник для подготовленных выражений
Для упрощения работы с подготовленными выражениями в  
вашем проекте есть специальная функция-помощник -
db_get_prepare_stmt
db_get_prepare_stmt
Принимает:
ресурс соединения, sql запрос и массив со значениями
db_get_prepare_stmt
Принимает:
ресурс соединения, sql запрос и массив со значениями
Возвращает:
подготовленное выражение с добавленными туда значениями,  
которое останется только выполнить и получить результат
Как получить объект результата
Чтобы получить объект результата после выполнения 
подготовленного выражения используйте функцию  
mysqli_stmt_get_result
Как получить объект результата
Чтобы получить объект результата после выполнения 
подготовленного выражения используйте функцию  
mysqli_stmt_get_result
$sql = "SELECT * FROM gifs WHERE id = ?";

$res = mysqli_prepare($link, $sql);
$stmt = db_get_prepare_stmt($link, $sql, [$_GET['id']]);
$res = mysqli_stmt_get_result($stmt);
Разобранные критерии
Б18  
В коде отсутствуют SQL инъекции
https://up.htmlacademy.ru/php/4/criteries

Lesson 07

Загружено:

Сведения о документе

Оригинальное название

Авторское право

Доступные форматы

Поделиться этим документом

Поделиться или встроить документ

Параметры публикации

Этот документ был вам полезен?

Это неприемлемый материал?

Авторское право:

Доступные форматы

Lesson 07

Загружено:

Авторское право:

Доступные форматы

Раздел 7:

– поддержка MySQL в PHP

– поддержка MySQL в PHP

– поддержка MySQL в PHP

– поддержка MySQL в PHP

– поддержка MySQL в PHP

– поддержка MySQL в PHP

– поддержка MySQL в PHP

– поддержка MySQL в PHP

Установить подключение к серверу

Установить подключение к серверу

Проверить успешность подключения

Установить подключение к серверу

Проверить успешность подключения

Установить подключение к серверу

Проверить успешность подключения

Установить подключение к серверу

Проверить успешность подключения

Получить и обработать результат

Выполнить SQL запрос

Показать ошибку Запрос на

Что необходимо знать:

Параметр Значение Примечания

По умолчанию, MySQL устанавливается на тот же

Пользователь с максимальными правами.

Пароль либо пустая строка, либо задается

база данных Необязательный параметр

mysqli_connect(<хост>, <пользователь>, <пароль>, <бд>);

mysqli_connect(<хост>, <пользователь>, <пароль>, <бд>);

Что может пойти не так:

Ресурс соединения создаётся один раз при подключении к MySQL,

• Выполняются для получения

• Возвращают ресурс результата

• Выполняются для получения • Нужны для обновления,

• Возвращают ресурс результата • Возвращают true или false

• Оператор - SELECT • Операторы:

1. Сформировать SQL запрос

1. Сформировать SQL запрос

SQL запрос для добавления записи

INSERT INTO users

Что может пойти не так:

Возвращает последнюю ошибку

Первичный ключ – это особенное поле, в котором сохраняется

Первичный ключ нужен, чтобы ссылаться на эту запись.

Возвращает идентификатор последней

Объект результата – это не итоговые данные из БД,

Объект результата – это не итоговые данные из БД,

Чтобы получить действительные данные, необходимо

$res = mysqli_query($l, $sql);

$sql = "SELECT id, name FROM users";

$sql = "SELECT id, name FROM users";

$sql = "SELECT id, name FROM users";

$sql = "SELECT id, name FROM users";

Узнать количество записей можно используя

Возвращает количество записей

– Из параметров запроса ($_GET)

– Из параметров запроса ($_GET)

– Из параметров запроса ($_GET)

– Из параметров запроса ($_GET)

– Из параметров запроса ($_GET)

SELECT * FROM gifs WHERE id = $_GET['id']

SELECT * FROM gifs WHERE id = $_GET['id']

SELECT * FROM gifs WHERE id = $_GET['id']

Пользователь с максимальными правами.  

Ресурс соединения создаётся один раз при подключении к MySQL,  

• Выполняются для получения 

• Выполняются для получения  • Нужны для обновления,  

• Оператор - SELECT • Операторы:  

INSERT INTO users  

Возвращает последнюю ошибку  

Первичный ключ – это особенное поле, в котором сохраняется  

Возвращает идентификатор последней  

Объект результата – это не итоговые данные из БД,  

Объект результата – это не итоговые данные из БД,  

Чтобы получить действительные данные, необходимо  

Узнать количество записей можно используя  

Если не фильтровать внешние данные, который входят в  

Если не фильтровать внешние данные, который входят в  

SQL инъекция позволяет хакеру выполнить атаку на приложение,  

Данные для запроса из  

Хакер подставил в параметр запроса вместо числа строку, которая 

Хакер подставил в параметр запроса вместо числа строку, которая 

Вместо удаления одной записи с переданным id, модифицированный  