【PHP8.x】PDO::prepare()メソッドの使い方

Copy
1<?php
2
3/**
4 * Demonstrates the use of PDO::prepare for prepared statements in PHP.
5 *
6 * Prepared statements are crucial for preventing SQL injection attacks and
7 * can improve performance for queries executed multiple times.
8 * They work by sending the SQL query structure to the database first,
9 * and then sending the actual data separately.
10 */
11function demonstratePreparedStatements(): void
12{
13    // DSN (Data Source Name) for an in-memory SQLite database.
14    // This allows the example to run without needing an external database setup.
15    $dsn = 'sqlite::memory:';
16
17    try {
18        // 1. Establish a database connection using PDO.
19        // Setting PDO::ATTR_ERRMODE to PDO::ERRMODE_EXCEPTION makes PDO throw
20        // PDOException on errors, which is a robust way to handle them.
21        $pdo = new PDO($dsn);
22        $pdo->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);
23
24        echo "Database connection established successfully (in-memory SQLite).\n\n";
25
26        // 2. Create a simple table for our example data.
27        // exec() is suitable for DDL statements (like CREATE TABLE) that don't involve user input.
28        $pdo->exec("
29            CREATE TABLE IF NOT EXISTS users (
30                id INTEGER PRIMARY KEY AUTOINCREMENT,
31                name TEXT NOT NULL,
32                email TEXT UNIQUE NOT NULL
33            )
34        ");
35        echo "Table 'users' created or already exists.\n\n";
36
37        // 3. Prepare an INSERT statement with named placeholders.
38        // Placeholders like :name and :email are abstract values.
39        $insertSql = "INSERT INTO users (name, email) VALUES (:name, :email)";
40        $stmt = $pdo->prepare($insertSql); // PDO::prepare returns a PDOStatement object.
41
42        // Check if prepare failed (though with ERRMODE_EXCEPTION, it would usually throw an exception).
43        if ($stmt === false) {
44            echo "Failed to prepare the INSERT statement.\n";
45            return;
46        }
47
48        // 4. Execute the prepared statement with actual values.
49        // Values are passed as an associative array to the execute() method.
50        // PDO automatically handles proper escaping of these values, preventing SQL injection.
51        $stmt->execute([':name' => 'Alice Smith', ':email' => 'alice@example.com']);
52        echo "Inserted user: Alice Smith\n";
53
54        $stmt->execute([':name' => 'Bob Johnson', ':email' => 'bob@example.com']);
55        echo "Inserted user: Bob Johnson\n";
56
57        $stmt->execute([':name' => 'Charlie Brown', ':email' => 'charlie@example.com']);
58        echo "Inserted user: Charlie Brown\n\n";
59
60        // 5. Prepare and execute a SELECT statement with a placeholder.
61        $selectSql = "SELECT id, name, email FROM users WHERE name LIKE :search_name ORDER BY id";
62        $selectStmt = $pdo->prepare($selectSql);
63
64        if ($selectStmt === false) {
65            echo "Failed to prepare the SELECT statement.\n";
66            return;
67        }
68
69        // Search for users whose name starts with 'B'.
70        $selectStmt->execute([':search_name' => 'B%']); // Use '%' for SQL LIKE wildcard
71
72        echo "--- Users found with name starting with 'B' ---\n";
73        // 6. Fetch and display results.
74        // PDO::FETCH_ASSOC fetches rows as an associative array (column name => value).
75        while ($row = $selectStmt->fetch(PDO::FETCH_ASSOC)) {
76            echo "ID: {$row['id']}, Name: {$row['name']}, Email: {$row['email']}\n";
77        }
78        echo "----------------------------------------------\n\n";
79
80    } catch (PDOException $e) {
81        // Handle any database-related errors.
82        echo "Database Error: " . $e->getMessage() . "\n";
83    } catch (Exception $e) {
84        // Handle any other general errors.
85        echo "General Error: " . $e->getMessage() . "\n";
86    }
87}
88
89// Call the function to run the example.
90demonstratePreparedStatements();
91
92?>

PHPのPDO::prepareメソッドは、データベースに対する安全で効率的な操作を行うための「プリペアドステートメント」を作成する重要な機能です。これは、特にSQLインジェクション攻撃を防ぐために不可欠な方法であり、SQL文の構造と、それに渡すデータを分離して処理します。

このメソッドは、実行したいSQLクエリを文字列 $query として受け取ります。このクエリには、後で実際の値に置き換えられる「プレースホルダ」（例: :name や ?）を含めることができます。オプションとして配列 $options を渡すこともできますが、通常は省略されます。PDO::prepareが成功すると、PDOStatementというオブジェクトを返します。このオブジェクトを使って、プレースホルダに実際の値をバインドし、execute()メソッドでSQLを実行します。もしプリペアに失敗した場合は、falseが返されますが、エラーモードが例外設定（PDO::ERRMODE_EXCEPTION）の場合はPDOExceptionがスローされます。

サンプルコードでは、INSERT文やSELECT文でPDO::prepareを使用し、:nameなどの名前付きプレースホルダを用いています。PDOStatement::execute()メソッドに値を渡すことで、PDOが自動的に適切なエスケープ処理を行い、SQLインジェクションを効果的に防止します。同じステートメントを繰り返し実行する際にも再利用が可能で、パフォーマンスの向上にも繋がります。データベースとの安全なやり取りの基盤として、このメソッドはシステム開発において非常に重要です。

Copy
1<?php
2
3/**
4 * PDO::prepare メソッドの使用例
5 *
6 * この関数は、PHPでデータベースからユーザー情報を安全に取得する方法を示します。
7 * SQLインジェクション攻撃を防ぐため、PDO::prepare を使用して
8 * 「プレースホルダ」を持つSQLクエリを準備し、後から安全な方法で値をバインドします。
9 *
10 * @param int $userId 取得したいユーザーのID
11 * @return array|false ユーザー情報が格納された連想配列、または処理が失敗した場合は false
12 */
13function getUserById(int $userId): array|false
14{
15    // データベース接続設定 (実際の環境に合わせて変更してください)
16    // DSN (Data Source Name): データベースの種類 (mysql)、ホスト名、データベース名、文字エンコーディングを指定
17    $dsn = 'mysql:host=localhost;dbname=test_db;charset=utf8mb4';
18    $username = 'root'; // データベース接続ユーザー名
19    $password = 'password'; // データベース接続パスワード
20
21    try {
22        // PDO (PHP Data Objects) インスタンスを作成し、データベースに接続
23        // 接続オプション:
24        // PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION : エラーが発生した場合にPDOExceptionをスローさせ、エラー処理を容易にする
25        // PDO::ATTR_DEFAULT_FETCH_MODE => PDO::FETCH_ASSOC : クエリ結果をデフォルトで連想配列として取得するよう設定
26        $pdo = new PDO($dsn, $username, $password, [
27            PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION,
28            PDO::ATTR_DEFAULT_FETCH_MODE => PDO::FETCH_ASSOC,
29        ]);
30
31        // SQLクエリを準備 (prepare)
32        // クエリ内の '?' はプレースホルダと呼ばれ、後で実際の値に置き換えられます。
33        // これにより、SQLクエリとデータを分離し、悪意のあるSQLコードの挿入（SQLインジェクション）を防ぎます。
34        $stmt = $pdo->prepare('SELECT id, name, email FROM users WHERE id = ?');
35
36        // プレースホルダに値をバインド
37        // bindValue(プレースホルダのインデックス, バインドする値, 値のデータ型)
38        // ここでは、1番目のプレースホルダ (?) に $userId の値を整数型 (PDO::PARAM_INT) としてバインドしています。
39        $stmt->bindValue(1, $userId, PDO::PARAM_INT);
40
41        // 準備されたクエリを実行 (execute)
42        $stmt->execute();
43
44        // 結果をフェッチ (取得)
45        // fetch() メソッドは、クエリ結果セットから次の1行を取得します。
46        // PDO::FETCH_ASSOC が設定されているため、結果は連想配列として返されます。
47        $user = $stmt->fetch();
48
49        return $user; // ユーザー情報（配列）または結果がない場合は false を返す
50
51    } catch (PDOException $e) {
52        // データベース接続エラーやクエリ実行エラーが発生した場合
53        // エラーメッセージをログに出力（実際のアプリケーションでは、より詳細なエラーハンドリングを実装することが重要です）
54        error_log('データベースエラー: ' . $e->getMessage());
55        return false; // エラーが発生した場合は false を返す
56    }
57}
58
59// --- 以下、getUserById 関数の使用例 ---
60
61// IDが1のユーザー情報を取得してみる
62$userIdToFetch = 1;
63$userData = getUserById($userIdToFetch);
64
65if ($userData) {
66    echo "--- ユーザー情報 (ID: {$userIdToFetch}) ---\n";
67    echo "ID: " . $userData['id'] . "\n";
68    echo "名前: " . $userData['name'] . "\n";
69    echo "メール: " . $userData['email'] . "\n";
70} else {
71    echo "ユーザーID {$userIdToFetch} の情報が見つからないか、処理中にエラーが発生しました。\n";
72}
73
74echo "\n"; // 出力を見やすくするための改行
75
76// 存在しないIDの例
77$nonExistentUserId = 999;
78$nonExistentUserData = getUserById($nonExistentUserId);
79if (!$nonExistentUserData) {
80    echo "--- ユーザー情報 (ID: {$nonExistentUserId}) ---\n";
81    echo "ユーザーID {$nonExistentUserId} の情報は存在しませんでした。\n";
82}
83
84?>

PHPのPDO::prepareメソッドは、データベースへの安全なクエリ実行を実現するための重要な機能です。このメソッドは、悪意のあるSQLコードの挿入（SQLインジェクション）を防ぐ目的で、データベースに送信するSQLクエリをあらかじめ「準備」します。

引数$queryには、実際の値の代わりに「プレースホルダ」として疑問符（?）や名前付きプレースホルダ（:name）を含むSQL文を指定します。これにより、SQLの構造とデータを明確に分離できます。引数$optionsは、追加の準備オプションを設定するために使用しますが、多くの場合、省略可能です。

メソッドが成功すると、準備されたSQLクエリを表すPDOStatementオブジェクトが返されます。このオブジェクトは、後からbindValueなどのメソッドを使ってプレースホルダに値を安全にバインドし、executeメソッドでクエリを実行するために利用されます。もしクエリの準備に失敗した場合は、falseが戻り値として返されます。

提供されたサンプルコードでは、getUserById関数がPDO::prepareを使用してユーザー情報を取得するSQLクエリを準備し、bindValueでユーザーIDを安全にバインドして実行する一連の流れを示しています。これにより、ユーザー入力が直接SQL文に組み込まれる危険を回避し、堅牢なアプリケーション開発に貢献します。