Bagaimana cara menerapkan metode bindValue di klausa LIMIT?

Ini adalah cuplikan dari kode saya:

$fetchPictures = $PDO->prepare("SELECT * 
    FROM pictures 
    WHERE album = :albumId 
    ORDER BY id ASC 
    LIMIT :skip, :max");

$fetchPictures->bindValue(':albumId', $_GET['albumid'], PDO::PARAM_INT);

if(isset($_GET['skip'])) {
    $fetchPictures->bindValue(':skip', trim($_GET['skip']), PDO::PARAM_INT);    
} else {
    $fetchPictures->bindValue(':skip', 0, PDO::PARAM_INT);  
}

$fetchPictures->bindValue(':max', $max, PDO::PARAM_INT);
$fetchPictures->execute() or die(print_r($fetchPictures->errorInfo()));
$pictures = $fetchPictures->fetchAll(PDO::FETCH_ASSOC);

saya mendapat

Ada kesalahan dalam sintaks SQL Anda; periksa manual yang sesuai dengan versi server MySQL Anda untuk sintaks yang benar untuk digunakan di dekat '' 15 ', 15' di baris 1

Tampaknya PDO menambahkan tanda kutip tunggal ke variabel saya di bagian LIMIT dari kode SQL. Saya mencarinya Saya menemukan bug ini yang menurut saya terkait: http://bugs.php.net/bug.php?id=44639

Itukah yang saya lihat? Bug ini telah dibuka sejak April 2008! Apa yang harus kami lakukan sementara itu?

Saya perlu membuat beberapa pagination, dan perlu memastikan datanya bersih, sql injection-safe, sebelum mengirim pernyataan sql.

Saya ingat pernah mengalami masalah ini sebelumnya. Transmisikan nilai ke integer sebelum meneruskannya ke fungsi bind. Saya pikir ini menyelesaikannya.

$fetchPictures->bindValue(':skip', (int) trim($_GET['skip']), PDO::PARAM_INT);

Solusi paling sederhana adalah dengan mematikan mode emulasi. Anda dapat melakukannya hanya dengan menambahkan baris berikut

$PDO->setAttribute( PDO::ATTR_EMULATE_PREPARES, false );

Selain itu, mode ini dapat disetel sebagai parameter konstruktor saat membuat koneksi PDO . Ini bisa menjadi solusi yang lebih baik karena beberapa melaporkan bahwa driver mereka tidak mendukung setAttribute()fungsi tersebut.

Ini tidak hanya akan menyelesaikan masalah Anda dengan pengikatan, tetapi juga memungkinkan Anda mengirim nilai secara langsung execute(), yang akan membuat kode Anda lebih pendek secara dramatis. Dengan asumsi mode emulasi telah disetel, keseluruhan urusan akan mengambil sebanyak setengah lusin baris kode

$skip = isset($_GET['skip']) ? (int)trim($_GET['skip']) : 0;
$sql  = "SELECT * FROM pictures WHERE album = ? ORDER BY id LIMIT ?, ?";
$stmt  = $PDO->prepare($sql);
$stmt->execute([$_GET['albumid'], $skip, $max]);
$pictures = $stmt->fetchAll(PDO::FETCH_ASSOC);

Melihat laporan bug, berikut ini mungkin berhasil:

$fetchPictures->bindValue(':albumId', (int)$_GET['albumid'], PDO::PARAM_INT);

$fetchPictures->bindValue(':skip', (int)trim($_GET['skip']), PDO::PARAM_INT);  

tetapi apakah Anda yakin data yang masuk sudah benar? Karena dalam pesan kesalahan, sepertinya hanya ada satu kutipan setelah nomor (berlawanan dengan seluruh angka yang diapit tanda kutip). Ini juga bisa menjadi kesalahan dengan data masuk Anda. Bisakah Anda melakukan print_r($_GET);untuk mencari tahu?

Ini hanya sebagai ringkasan.
Ada empat opsi untuk membuat parameter nilai LIMIT / OFFSET:

1. Nonaktifkan PDO::ATTR_EMULATE_PREPARESseperti yang disebutkan di atas .

   Yang mencegah nilai yang diteruskan per ->execute([...])untuk selalu muncul sebagai string.

2. Beralih ke ->bindValue(..., ..., PDO::PARAM_INT)populasi parameter manual .

   Yang bagaimanapun kurang nyaman daripada -> jalankan daftar [].

3. Cukup buat pengecualian di sini dan cukup interpolasi bilangan bulat biasa saat menyiapkan kueri SQL.

    $limit = intval($limit);
    $s = $pdo->prepare("SELECT * FROM tbl LIMIT {$limit}");
   

   Pengecoran itu penting. Lebih umum Anda lihat ->prepare(sprintf("SELECT ... LIMIT %d", $num))digunakan untuk tujuan seperti itu.

4. Jika Anda tidak menggunakan MySQL, tetapi misalnya SQLite, atau Postgres; Anda juga dapat mentransmisikan parameter terikat langsung di SQL.

    SELECT * FROM tbl LIMIT (1 * :limit)

   Sekali lagi, MySQL / MariaDB tidak mendukung ekspresi di klausa LIMIT. Belum.

untuk LIMIT :init, :end

Anda perlu mengikat seperti itu. jika Anda memiliki sesuatu seperti $req->execute(Array());itu tidak akan berfungsi karena itu akan dilemparkan PDO::PARAM_STRke semua vars dalam array dan LIMITAnda benar-benar membutuhkan Integer. bindValue atau BindParam sesuai keinginan Anda.

$fetchPictures->bindValue(':albumId', (int)$_GET['albumid'], PDO::PARAM_INT);

Karena tidak ada yang menjelaskan mengapa ini terjadi, saya menambahkan jawaban. Alasan mengapa berperilaku ini adalah karena Anda sedang menggunakan trim(). Jika Anda melihat manual PHP trim, jenis kembaliannya adalah string. Anda kemudian mencoba untuk melewatkan ini sebagai PDO::PARAM_INT. Beberapa cara untuk menyiasatinya adalah:

1. Gunakan filter_var($integer, FILTER_VALIDATE_NUMBER_INT)untuk memastikan Anda meneruskan integer.
2. Seperti yang dikatakan orang lain, menggunakan intval()
3. Mentransmisikan dengan (int)
4. Memeriksa apakah itu bilangan bulat dengan is_int()

Ada lebih banyak cara, tetapi ini pada dasarnya adalah akar penyebabnya.

bindValue offset dan limit menggunakan PDO :: PARAM_INT dan itu akan berhasil

// SEBELUM (Kesalahan saat ini) $ query = ".... LIMIT: p1, 30;"; ... $ stmt-> bindParam (': p1', $ limiteInferior);

// SETELAH (Error dikoreksi) $ query = ".... LIMIT: p1, 30;"; ... $ limiteInferior = (int) $ limiteInferior; $ stmt-> bindParam (': p1', $ limiteInferior, PDO :: PARAM_INT);

PDO::ATTR_EMULATE_PREPARES memberi saya

Driver tidak mendukung fungsi ini: Driver ini tidak mendukung kesalahan atribut pengaturan.

Solusi saya adalah menetapkan $limitvariabel sebagai string, lalu menggabungkannya dalam pernyataan persiapan seperti pada contoh berikut:

$limit = ' LIMIT ' . $from . ', ' . $max_results;
$stmt = $pdo->prepare( 'SELECT * FROM users WHERE company_id = :cid ORDER BY name ASC' . $limit . ';' );
try {
    $stmt->execute( array( ':cid' => $company_id ) );
    ...
}
catch ( Exception $e ) {
    ...
}

Ada banyak hal yang terjadi di antara berbagai versi PHP dan keanehan PDO. Saya mencoba 3 atau 4 metode di sini tetapi tidak berhasil LIMIT.
Saran saya adalah menggunakan pemformatan / penggabungan string DENGAN filter intval () :

$sql = 'SELECT * FROM `table` LIMIT ' . intval($limitstart) . ' , ' . intval($num).';';

Sangat penting untuk menggunakan intval () untuk mencegah injeksi SQL, terutama jika Anda mendapatkan batas dari $ _GET atau sejenisnya. Jika Anda melakukannya, ini adalah cara termudah untuk membuat LIMIT bekerja.

Ada banyak pembicaraan tentang 'Masalah dengan LIMIT di PDO' tetapi pemikiran saya di sini adalah bahwa parameter PDO tidak pernah digunakan untuk LIMIT karena mereka selalu akan menjadi bilangan bulat dan filter cepat berfungsi. Namun, ini agak menyesatkan karena filosofi selalu untuk tidak melakukan penyaringan injeksi SQL sendiri melainkan 'Minta PDO menanganinya'.