PDO::query
For those of you who do want to have null returned as NULL, it is fairly easy to add.
<?php
class Real_PDO extends PDO {
public function quote($value, $parameter_type = PDO::PARAM_STR ) {
if( is_null($value) ) {
return "NULL";
}
return parent::quote($value, $parameter_type);
}
}
?>
then all you have to do is change your creation of the PDO object to this new class, and you shouldn't have to change any other function calls. The nice thing about this method is that you can override any PDO function or add your own. IMO, PDO should natively handle this, as there is a difference in databases between NULL and an empty string(''), the quoting of numeric values is another issue altogether.
PDO::quote
(PHP 5 >= 5.1.0, PECL pdo >= 0.2.1)
PDO::quote — Protège une chaîne pour l'utiliser dans une requête SQL PDO
Description
string PDO::quote
( string $string
[, int $parameter_type = PDO::PARAM_STR
] )
PDO::quote() place des guillemets simples autour d'une chaîne d'entrée, si nécessaire et protège les caractères spéciaux présents dans la chaîne d'entrée, en utilisant le style de protection approprié au pilote courant.
Si vous utilisez cette fonction pour construire des requêtes SQL, vous êtes vivement invités à utiliser PDO::prepare() pour préparer les requêtes SQL avec des paramètres liés au lieu d'utiliser PDO::quote() pour interpréter les entrées utilisateur dans la requête SQL. Les requêtes préparées avec des paramètres liés sont non seulement plus portables, plus souples et plus sécuritaires, mais bien plus rapides à exécuter que d'interpréter les requêtes, étant donné que les côtés client et serveur peuvent mettre en cache une version compilée de la requête.
Tous les pilotes PDO n'implémentent pas cette méthode (comme PDO_ODBC). Utilisez les requêtes préparées à la place.
Liste de paramètres
- string
-
La chaîne à protéger.
- parameter_type
-
Le type de données pour les drivers qui ont des styles particuliers de protection.
Valeurs de retour
Retourne une chaîne protégée, qui est théoriquement sûre à utiliser dans une requête SQL. Retourne FALSE si le pilote ne supporte pas ce type de protections.
Exemples
Exemple #1 Protection d'une chaîne normale
<?php
$conn = new PDO('sqlite:/home/lynn/music.sql3');
/* Chaîne simple */
$string = 'Nice';
print "Chaîne non échappée : $string\n";
print "Chaîne échappée : " . $conn->quote($string) . "\n";
?>
L'exemple ci-dessus va afficher :
Chaîne non échappée : Nice Chaîne échappée: 'Nice'
Exemple #2 Protection d'une chaîne dangereuse
<?php
$conn = new PDO('sqlite:/home/lynn/music.sql3');
/* Chaîne dangereuse */
$string = 'Chaîne \' particulière';
print "Chaîne non échappée : $string\n";
print "Chaîne échappée :" . $conn->quote($string) . "\n";
?>
L'exemple ci-dessus va afficher :
Chaîne non échappée : Chaîne ' particulière Chaîne échappée : 'Chaîne '' particulière'
Exemple #3 Protection d'une chaîne complexe
<?php
$conn = new PDO('sqlite:/home/lynn/music.sql3');
/* Chaîne complexe */
$string = "Co'mpl''exe \"ch'\"aîne";
print "Chaîne non protégée : $string\n";
print "Chaîne protégée : " . $conn->quote($string) . "\n";
?>
L'exemple ci-dessus va afficher :
Chaîne non échappée: Co'mpl''exe "ch'"aîne Chaîne échappée: 'Co''mpl''''exe "ch''"aîne'
Voir aussi
- PDO::prepare() - Prépare une requête à l'exécution et retourne un objet
- PDOStatement::execute() - Exécute une requête préparée
add a note
User Contributed Notes
PDO::quote
hungry dot rahly at gmail dot com
27-Sep-2010 11:31
php at deobald dot org
20-May-2008 10:33
Note that this function just does what the documentation says: It escapes special characters in strings.
It does NOT - however - detect a "NULL" value. If the value you try to quote is "NULL" it will return the same value as when you process an empty string (-> ''), not the text "NULL".