PDOでprepareの使い方【PHP】

2020年3月1日

PDOで使用できるprepareの使い方をまとめました。

PDOでSQL文を実行するにあたっては、効率面でもセキュリティ面でも、とても重要な機能なので、詳しくない方は是非最後まで目を通してください。

prepareとは

prepareとは、PDOで使用できるメソッドの1つで、SQL文をセットして実行準備を行います。

//SQLクエリを生成
$sql = "SELECT *
        FROM users
        WHERE id = :id
        AND password = :password";

//prepareによるクエリの実行準備
$sth = $pdo -> prepare($sql);

//クエリの設定
$sth -> bindValue(':id', 999);
$sth -> bindValue(':password', 'hogehoge');

//クエリの実行
$sth -> execute();

//結果を配列で取得
$data = $sth -> fetch(PDO::FETCH_ASSOC);

//空の配列でなければログイン成功
if($data){
    echo 'ログイン成功！';
}

prepareの実行の流れは次の通りです。

要するに、「SQL文だけ作っておいて、値（変数など）を後から当てはめる」という形式です。

ちなみに値の代入を行わない（bindValueを使用しない）場合でも、prepareは使用できます。

//SQLクエリを生成
$sql = "SELECT *
        FROM users
        WHERE id = 999
        AND password = 'hogehoge'";
        
//prepareによるクエリの実行準備
$sth = $pdo -> prepare($sql);

//クエリの実行
$sth -> execute();

prepareとqueryの違い

PDOでSQLを実行するにあたって、queryではなくprepareを使用しなくてはいけないシーンは沢山あります。

prepareとqueryの違いについてまとめました。

SQLインジェクションを防げる

不正な値を入力してSQL文を改ざんさせられる「SQLインジェクション」という攻撃があります。

参考 PHPでSQLインジェクション攻撃の対策方法【PDO】

queryの場合

例えば、以下のようにユーザーから送信された値を何の検証もせずSQL文に組み込み、queryで実行すると、処理を改ざんさせられる恐れがあります。

$sql = "SELECT * 
        FROM users 
        WHERE id = '".$_POST['user_id']."' 
        AND password = '".$_POST['user_pass']."'";
$sth = $pdo -> query($sql);

prepareの場合

では、prepareで同じことをした場合はどうなるか見てみましょう。

$sql = "SELECT * 
        FROM users 
        WHERE id = :id
        AND password = :password";
//prepareによるクエリの実行準備
$sth = $pdo -> prepare($sql);
//クエリの設定
$sth -> bindValue(':id', $_POST['user_id']);
$sth -> bindValue(':password', $_POST['user_pass']);
//クエリの実行
$sth -> execute();

同じSQL文を繰り返し使用できる

同じSQL文で値（変数）のみを切り替える、という処理は、prepareを使用するとより使いまわしが利きます。

例として、このようなテーブルを使用します。

table名:yasai_item
id	name	price
1	にんじん	50
2	トマト	100
3	きゅうり	80

$aryId = [1, 3];
$sql = "SELECT name FROM yasai_item WHERE id = :id";
//prepareによるクエリの実行準備
$sth = $pdo -> prepare($sql);

foreach($aryId as $id){
    $sth -> bindValue(':id', $id);
    $sth -> execute();
    $name = $sth -> fetch(PDO::FETCH_COLUMN);
    echo $id.':'.$name."<br>";
}

同じSQL文で、取得したいidに応じた野菜の名前を取得する処理です。

取得したいidを配列に入れて、foreachで繰り返し、それぞれのidをexecuteで実行しています。

参考 PHPのforeachを徹底解説【サンプルコード有】

このように、同じSQL文で条件となる値だけ変えたい、といった場合にも、prepareは効率的に利用できます。

---

PDOを活用するにあたって、prepareのメソッドと切っても切り離せない存在です。

何故prepareを使用しなくてはいけないのかを理解した上で、PDOを利用していきましょう。

各SQL文毎のprepareの利用方法は下記の記事をご確認ください。

• 【検索】SELECT文の書き方
• 【挿入】INSERT文の書き方
• 【更新】UPDATE文の書き方
• 【削除】DELETE文の書き方

以上、PDOでprepareの使い方、でした。