【PHP8.x】PDOStatement::bindParam()メソッドの使い方

Copy
1<?php
2
3/**
4 * PDOStatement::bindParam と PDOStatement::bindValue の違いを示すサンプルコード。
5 *
6 * bindParam は変数を参照渡しでバインドするため、execute() が呼ばれる時点での変数の値を使用します。
7 * bindValue は値をコピーしてバインドするため、bindValue() が呼ばれた時点での変数の値を使用します。
8 *
9 * このコードは、インメモリのSQLiteデータベースを使用し、PHP が動作する環境で単体で実行可能です。
10 */
11try {
12    // 1. インメモリのSQLiteデータベースに接続
13    $pdo = new PDO('sqlite::memory:');
14    $pdo->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);
15    $pdo->setAttribute(PDO::ATTR_DEFAULT_FETCH_MODE, PDO::FETCH_ASSOC);
16
17    echo "--- データベース接続成功 ---" . PHP_EOL;
18
19    // 2. テスト用のテーブルを作成
20    $pdo->exec(
21        "CREATE TABLE IF NOT EXISTS users (
22            id INTEGER PRIMARY KEY AUTOINCREMENT,
23            name VARCHAR(50) NOT NULL
24        );"
25    );
26    echo "--- users テーブル作成成功 ---" . PHP_EOL . PHP_EOL;
27
28    // 3. プリペアドステートメントの準備
29    $stmt = $pdo->prepare("INSERT INTO users (name) VALUES (:name)");
30
31    echo "--- bindParam の使用例 ---" . PHP_EOL;
32
33    // 4. bindParam のデモンストレーション
34    $userNameForParam = 'Alice';
35    // ':name' パラメータを $userNameForParam 変数に参照渡しでバインド
36    $stmt->bindParam(':name', $userNameForParam, PDO::PARAM_STR);
37
38    echo "  bindParam で '$userNameForParam' をバインド後、最初の実行..." . PHP_EOL;
39    $stmt->execute(); // この時点で $userNameForParam は 'Alice' なので、'Alice' が挿入される
40    echo "  => 'Alice' が挿入されました。" . PHP_EOL;
41
42    // バインドした変数の値を変更
43    $userNameForParam = 'Bob';
44    echo "  bindParam でバインドした変数を '$userNameForParam' に変更後、再実行..." . PHP_EOL;
45    // execute() 時点での $userNameForParam は 'Bob' なので、'Bob' が挿入される
46    $stmt->execute();
47    echo "  => 'Bob' が挿入されました (変数の変更が反映される)。" . PHP_EOL . PHP_EOL;
48
49    echo "--- bindValue の使用例 ---" . PHP_EOL;
50
51    // 5. bindValue のデモンストレーション
52    $userNameForValue = 'Charlie';
53    // ':name' パラメータを $userNameForValue の値（'Charlie'）でバインド
54    // bindValue は値をコピーするため、バインド後に $userNameForValue の値を変更しても影響しない
55    $stmt->bindValue(':name', $userNameForValue, PDO::PARAM_STR);
56
57    echo "  bindValue で '$userNameForValue' をバインド後、最初の実行..." . PHP_EOL;
58    $stmt->execute(); // この時点で $userNameForValue は 'Charlie' なので、'Charlie' が挿入される
59    echo "  => 'Charlie' が挿入されました。" . PHP_EOL;
60
61    // バインドした変数の値を変更
62    $userNameForValue = 'David';
63    echo "  bindValue でバインドした変数を '$userNameForValue' に変更後、再実行..." . PHP_EOL;
64    // execute() 時点でもバインドされた値は 'Charlie' なので、'Charlie' が挿入される
65    $stmt->execute();
66    echo "  => 'Charlie' が挿入されました (変数の変更は反映されない)。" . PHP_EOL . PHP_EOL;
67
68    echo "--- 挿入されたデータを確認 ---" . PHP_EOL;
69
70    // 6. 挿入されたすべてのデータを取得して表示
71    $results = $pdo->query("SELECT id, name FROM users ORDER BY id")->fetchAll();
72
73    foreach ($results as $row) {
74        echo "  ID: " . $row['id'] . ", Name: " . $row['name'] . PHP_EOL;
75    }
76
77    echo PHP_EOL . "--- 実行完了 ---" . PHP_EOL;
78
79} catch (PDOException $e) {
80    echo "データベースエラー: " . $e->getMessage() . PHP_EOL;
81} catch (Exception $e) {
82    echo "エラー: " . $e->getMessage() . PHP_EOL;
83}
84

PHPのPDOStatement::bindParamは、データベース操作でセキュリティを高めるプリペアドステートメントにおいて、SQL文のプレースホルダーに変数をバインドするメソッドです。引数には、バインドするプレースホルダー名（例: :name）または位置（例: 1）、バインドしたいPHP変数（&$var）、変数のデータ型（例: PDO::PARAM_STR）などを指定し、成功時にはtrue、失敗時にはfalseを返します。

このbindParamの重要な特徴は、第二引数に変数を「参照渡し」でバインドする点です。これは、bindParamが呼び出された時点の変数の値ではなく、実際にPDOStatement::execute()メソッドが実行される時点での変数の値がデータベースに渡されることを意味します。

これに対し、よく比較されるPDOStatement::bindValueは、変数の「値そのもの」をコピーしてバインドします。そのため、bindValueが呼び出された後に元の変数の値が変更されても、データベースに渡される値は変わりません。サンプルコードでは、bindParamでバインドした変数$userNameForParamとbindValueでバインドした変数$userNameForValueの値を、execute()前にそれぞれ変更することで、この参照渡しと値渡しによる動作の違いを明確に示しています。この挙動の違いを理解することは、予期せぬデータベース操作を防ぐ上で非常に重要です。