【PHP8.x】Pdo\Sqlite::PARAM_STMT定数の使い方

Copy
1<?php
2
3/**
4 * 指定されたユーザー名とメールアドレスで新しいユーザーをデータベースに登録します。
5 * SQLiteデータベースを使用し、PDOのプリペアドステートメントとbindParamを用いてSQLインジェクションを防ぎます。
6 *
7 * @param string $username 登録するユーザー名
8 * @param string $email 登録するメールアドレス
9 * @return void
10 */
11function createUser(string $username, string $email): void
12{
13    // SQLiteデータベースファイルのパスを定義
14    // このファイルが存在しない場合は、PDOによって自動的に作成されます。
15    $dbPath = __DIR__ . '/users.db';
16    $dsn = 'sqlite:' . $dbPath;
17
18    try {
19        // PDO (PHP Data Objects) を使用してSQLiteデータベースに接続します。
20        // PHP 8 の推奨として、エラーモードを例外 (PDO::ERRMODE_EXCEPTION) に設定し、
21        // データベース操作中のエラーが発生した場合にPDOExceptionがスローされるようにします。
22        $pdo = new PDO($dsn);
23        $pdo->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);
24
25        // usersテーブルが存在しない場合に作成します。
26        // idは自動増分、usernameはユニーク制約付きで重複登録を防ぎます。
27        $pdo->exec("
28            CREATE TABLE IF NOT EXISTS users (
29                id INTEGER PRIMARY KEY AUTOINCREMENT,
30                username TEXT NOT NULL UNIQUE,
31                email TEXT NOT NULL
32            )
33        ");
34
35        // INSERT文のプリペアドステートメントを準備します。
36        // ':username' と ':email' は名前付きプレースホルダです。
37        // これにより、SQLインジェクション攻撃を防ぎ、クエリの再利用によるパフォーマンス向上が期待できます。
38        $stmt = $pdo->prepare("INSERT INTO users (username, email) VALUES (:username, :email)");
39
40        // パラメータをバインドします。
41        // bindParam() メソッドは、プレースホルダと変数を参照で紐付けます。
42        // PDO::PARAM_STR は、値を文字列型としてデータベースに渡すことを指定します。
43        // このメソッドはステートメント実行時に変数の現在の値を評価します。
44        $stmt->bindParam(':username', $username, PDO::PARAM_STR);
45        $stmt->bindParam(':email', $email, PDO::PARAM_STR);
46
47        // プリペアドステートメントを実行します。
48        $stmt->execute();
49
50        echo "ユーザー '{$username}' が正常に登録されました。\n";
51
52    } catch (PDOException $e) {
53        // データベース操作中に例外が発生した場合、エラーメッセージを表示します。
54        // 例: UNIQUE制約違反（同じユーザー名の登録試行）など。
55        echo "データベースエラー: " . $e->getMessage() . "\n";
56    } finally {
57        // PDOオブジェクトをnullに設定してデータベース接続を閉じます。
58        // スクリプト終了時に自動的に閉じられますが、明示的に行うことも可能です。
59        $pdo = null;
60    }
61}
62
63// --- サンプル使用例 ---
64
65// 新しいユーザーを登録します
66createUser('Alice', 'alice@example.com');
67createUser('Bob', 'bob@example.com');
68
69// 同じユーザー名での登録を試行します。
70// usersテーブルのusernameカラムにはUNIQUE制約が設定されているため、
71// この操作はPDOException（データベースエラー）を発生させます。
72createUser('Alice', 'alice_new@example.com');
73
74// 新しい異なるユーザーを登録します
75createUser('Charlie', 'charlie@example.com');
76

このサンプルコードは、PHPのPDO（PHP Data Objects）拡張機能を使用して、SQLiteデータベースに新しいユーザーを安全に登録する方法を示しています。特に、SQLインジェクション攻撃からシステムを保護するために重要な「プリペアドステートメント」と「bindParam()」メソッドの利用が特徴です。

まず、データベースに接続し、もし存在しなければusersテーブルを作成します。次に、ユーザー名とメールアドレスを登録するためのSQL文を準備します。この際、値の代わりに:usernameや:emailのような「プレースホルダ」を使用します。

bindParam()メソッドは、これらのプレースホルダと、実際に登録したい値が格納されたプログラム内の変数（$username、$email）を関連付けます。このメソッドの３番目の引数には、PDO::PARAM_STRのような定数を指定します。PDO::PARAM_STRは、渡されるデータが文字列型であることを明示的にデータベースに伝える定数です。これにより、データベースは型に基づいてデータを適切に処理し、データ整合性を保ちながらセキュリティも向上させます。この定数自体は引数を取らず、戻り値もありませんが、bindParam()の動作を正確に制御するために不可欠です。

最後に、準備されたステートメントを実行することで、変数の値がデータベースに安全に挿入されます。エラーが発生した場合はtry-catchブロックで捕捉され、適切なメッセージが表示されます。例えば、同じユーザー名を重複して登録しようとすると、データベースの制約によりエラーとなります。