Der ultimative Leitfaden zum Upgrade von mysql_*Funktionen auf die MySQLi-API

Der Grund für die neue mysqli-Erweiterung bestand darin, die neuen Funktionen von MySQL-Systemen ab Version 4.1.3 zu nutzen. Wenn Sie Ihren vorhandenen Code von mysql_*zur mysqli-API ändern, sollten Sie diese Verbesserungen nutzen, da sonst Ihre Upgrade-Bemühungen vergeblich werden könnten.
Die mysqli-Erweiterung bietet eine Reihe von Vorteilen. Die wichtigsten Verbesserungen gegenüber der mysql-Erweiterung sind:

• Objektorientierte Schnittstelle
• Unterstützung für vorbereitete Anweisungen
• Erweiterte Debugging-Funktionen

Beim Upgrade von mysql_*Funktionen auf MySQLi müssen diese Funktionen sowie einige Änderungen in der Art und Weise, wie diese API verwendet werden soll, berücksichtigt werden.

1. Objektorientierte Schnittstelle versus prozedurale Funktionen.

Die neue objektorientierte Oberfläche von mysqli ist eine große Verbesserung gegenüber den älteren Funktionen und kann Ihren Code sauberer und weniger anfällig für Tippfehler machen. Es gibt auch die prozedurale Version dieser API, von deren Verwendung wird jedoch abgeraten, da sie zu weniger lesbarem Code führt, der fehleranfälliger ist.

Um mit MySQLi eine neue Verbindung zur Datenbank herzustellen, müssen Sie eine neue Instanz der MySQLi-Klasse erstellen.

$mysqli = new \mysqli($host, $user, $password, $dbName);
$mysqli->set_charset('utf8mb4');

Mit prozeduralem Stil würde es so aussehen:

$mysqli = mysqli_connect($host, $user, $password, $dbName);
mysqli_set_charset($mysqli, 'utf8mb4');

Beachten Sie, dass nur die ersten 3 Parameter mit denen in identisch sind mysql_connect. Der gleiche Code in der alten API wäre:

$link = mysql_connect($host, $user, $password);
mysql_select_db($dbName, $link);
mysql_query('SET NAMES utf8');

Wenn Ihr PHP-Code auf einer impliziten Verbindung mit in php.ini definierten Standardparametern beruhte, müssen Sie jetzt die MySQLi-Verbindung öffnen, die die Parameter in Ihrem Code übergibt, und dann den Verbindungslink zu allen prozeduralen Funktionen bereitstellen oder den OOP-Stil verwenden.

Weitere Informationen finden Sie im Artikel: So stellen Sie mithilfe von mysqli eine ordnungsgemäße Verbindung her

2. Unterstützung für vorbereitete Anweisungen

Dies ist eine große. MySQL hat Unterstützung für native vorbereitete Anweisungen in MySQL 4.1 (2004) hinzugefügt. Vorbereitete Anweisungen sind der beste Weg, um SQL-Injection zu verhindern . Es war nur logisch, dass die Unterstützung für native vorbereitete Anweisungen zu PHP hinzugefügt wurde. Vorbereitete Anweisungen sollten verwendet werden , wenn Daten mit der SQL - Anweisung werden muss entlang geführt (dh WHERE, INSERToder UPDATEsind die üblichen Anwendungsfälle).

Die alte MySQL API hatte eine Funktion , um die Zeichenfolge in SQL verwendet zu entkommen genannt mysql_real_escape_string, aber es wurde nie zum Schutz vor SQL - Injektionen gedacht und soll natürlich nicht für den Zweck verwendet werden.
Die neue MySQLi-API bietet eine Ersatzfunktion mysqli_real_escape_stringfür die Abwärtskompatibilität, die dieselben Probleme wie die alte aufweist und daher nur verwendet werden sollte, wenn vorbereitete Anweisungen verfügbar sind.

Der alte mysql_ * Weg:

$login = mysql_real_escape_string($_POST['login']);
$result = mysql_query("SELECT * FROM users WHERE user='$login'");

Der vorbereitete Statement-Weg:

$stmt = $mysqli->prepare('SELECT * FROM users WHERE user=?');
$stmt->bind_param('s', $_POST['login']);
$stmt->execute();
$result = $stmt->get_result();

Vorbereitete Anweisungen in MySQLi können Anfängern etwas abschreckend wirken. Wenn Sie ein neues Projekt starten, ist es möglicherweise eine gute Idee, die leistungsfähigere und einfachere PDO- API zu verwenden.

3. Erweiterte Debugging-Funktionen

Einige PHP-Entwickler alter Schule sind es gewohnt, manuell nach SQL-Fehlern zu suchen und diese beim Debuggen direkt im Browser anzuzeigen. Eine solche Praxis erwies sich jedoch nicht nur als umständlich, sondern auch als Sicherheitsrisiko. Zum Glück hat MySQLi die Funktionen zur Fehlerberichterstattung verbessert.

MySQLi kann alle aufgetretenen Fehler als PHP-Ausnahmen melden. PHP-Ausnahmen sprudeln im Skript und werden sofort beendet, wenn sie nicht behandelt werden. Dies bedeutet, dass keine Anweisung nach der fehlerhaften jemals ausgeführt wird. Die Ausnahme löst einen schwerwiegenden PHP-Fehler aus und verhält sich wie ein Fehler, der vom PHP-Core ausgelöst wird, wenn die Einstellungen display_errorsund log_errorsbeachtet werden. Um MySQLi-Ausnahmen zu aktivieren, verwenden Sie die Zeile mysqli_report(MYSQLI_REPORT_ERROR | MYSQLI_REPORT_STRICT)und fügen Sie sie ein, bevor Sie die DB-Verbindung öffnen.

mysqli_report(MYSQLI_REPORT_ERROR | MYSQLI_REPORT_STRICT);
$mysqli = new \mysqli($host, $user, $password, $dbName);
$mysqli->set_charset('utf8mb4');

Wenn Sie es gewohnt wären, Code zu schreiben, wie zum Beispiel:

$result = mysql_query('SELECT * WHERE 1=1');
if (!$result) {
    die('Invalid query: ' . mysql_error());
}

oder

$result = mysql_query('SELECT * WHERE 1=1') or die(mysql_error());

Sie müssen nicht mehr die()in Ihrem Code.

mysqli_report(MYSQLI_REPORT_ERROR | MYSQLI_REPORT_STRICT);
$mysqli = new \mysqli($host, $user, $password, $dbName);
$mysqli->set_charset('utf8mb4');

$result = $mysqli->query('SELECT * FROM non_existent_table');
// The following line will never be executed due to the mysqli_sql_exception being thrown above
foreach ($result as $row) {
    // ...
}

Wenn Sie aus irgendeinem Grund keine Ausnahmen verwenden können, verfügt MySQLi über entsprechende Funktionen zum Abrufen von Fehlern. Mit können Sie mysqli_connect_error()nach Verbindungsfehlern und mysqli_error($mysqli)anderen Fehlern suchen. Beachten Sie das obligatorische Argument in mysqli_error($mysqli)oder halten Sie sich alternativ an den OOP-Stil und die Verwendung $mysqli->error.

$result = $mysqli->query('SELECT * FROM non_existent_table') or trigger_error($mysqli->error, E_USER_ERROR);

Weitere Erklärungen finden Sie in diesen Beiträgen:
mysqli oder die, muss es sterben?
Wie erhalte ich MySQLi-Fehlerinformationen in verschiedenen Umgebungen?

4. Andere Änderungen

Leider hat nicht jede Funktion von mysql_*ihr Gegenstück in MySQLi nur ein "i" im Namen und im Verbindungslink als ersten Parameter. Hier ist eine Liste von einigen von ihnen:

• mysql_client_encoding() wurde ersetzt durch mysqli_character_set_name($mysqli)
• mysql_create_dbhat kein Gegenstück. Verwenden Sie vorbereitete Anweisungen oder mysqli_querystattdessen
• mysql_drop_dbhat kein Gegenstück. Verwenden Sie vorbereitete Anweisungen oder mysqli_querystattdessen
• mysql_db_name& mysql_list_dbsSupport wurde zugunsten von SQL eingestelltSHOW DATABASES
• mysql_list_tables Unterstützung wurde zugunsten von SQL eingestellt SHOW TABLES FROM dbname
• mysql_list_fields Unterstützung wurde zugunsten von SQL eingestellt SHOW COLUMNS FROM sometable
• mysql_db_query-> benutze mysqli_select_db()dann die Abfrage oder gib den DB-Namen in der Abfrage an
• mysql_fetch_field($result, 5)-> der zweite Parameter (Offset) ist in nicht vorhanden mysqli_fetch_field. Sie können unter mysqli_fetch_field_directBerücksichtigung der verschiedenen zurückgegebenen Ergebnisse verwenden
• mysql_field_flags, mysql_field_len, mysql_field_name, mysql_field_table& mysql_field_type-> wurde ersetzt mitmysqli_fetch_field_direct
• mysql_list_processeswurde entfernt. Wenn Sie eine Thread-ID benötigen, verwenden Siemysqli_thread_id
• mysql_pconnectwurde durch mysqli_connect()mit p:Host-Präfix ersetzt
• mysql_result-> mysqli_data_seek()in Verbindung mit mysqli_field_seek()und verwendenmysqli_fetch_field()
• mysql_tablename Unterstützung wurde zugunsten von SQL eingestellt SHOW TABLES
• mysql_unbuffered_querywurde entfernt. Weitere Informationen finden Sie in diesem Artikel. Gepufferte und ungepufferte Abfragen

Die Antwort ist eine gute Überraschung, da Sie für diese Art von Frage eher eine unbrauchbare Bemerkung außerhalb des Regelkreises erwarten. Ich glaube, es wird die gebührende Anerkennung bekommen. Nur ein paar Trottel. Es gibt auch mysql_set_charset (), nur einen Factcheck; Ich würde mres () nicht die Schuld geben, dass es "nicht ausreicht, um SQL-Injektionen zu verhindern". Sie können kein Beil dafür verantwortlich machen, dass Sie Ihre Protokolle nicht gesägt haben. Ich würde es eher so ausdrücken: "Es war nie zum Schutz gedacht und sollte natürlich nicht für diesen Zweck verwendet werden" Euer gesunder Menschenverstand,