在 mysqli 中插入许多值的最佳方法？

Question

我正在寻找一种使用 PHP 和 MySQLi 一次插入大量行（约 2000 年）的 SQL 注入安全技术。
我有一个包含所有必须包含的值的数组。 目前我正在这样做：

<?php
$array = array("array", "with", "about", "2000", "values");

foreach ($array as $one) 
{
    $query = "INSERT INTO table (link) VALUES ( ?)";
    $stmt = $mysqli->prepare($query);
    $stmt ->bind_param("s", $one);
    $stmt->execute();
    $stmt->close();
}
?>

我尝试了call_user_func_array()，但它导致了堆栈溢出。

有什么更快的方法可以做到这一点（比如一次全部插入？），但仍然可以防止 SQL 注入（比如准备好的语句）和堆栈溢出？
谢谢！

Answer 1

您应该能够通过将插入内容放入事务中来大大提高速度。您还可以将您的准备和绑定语句移到循环之外。

$array = array("array", "with", "about", "2000", "values");
$query = "INSERT INTO table (link) VALUES (?)";
$stmt = $mysqli->prepare($query);
$stmt ->bind_param("s", $one);

$mysqli->query("START TRANSACTION");
foreach ($array as $one) {
    $stmt->execute();
}
$stmt->close();
$mysqli->query("COMMIT");

---

我在我的网络服务器上用 10,000 次迭代测试了这段代码。

无交易：226 seconds. 有交易：2 seconds. 或者two order of magnitude speed increase，至少对于那个测试。

Answer 2

您应该首先将您的数组转换为字符串。鉴于它是一个字符串数组（不是二维数组），您可以使用implode 函数。

请注意，每个值都应括在括号中并正确转义，以确保正确的INSERT 语句并避免 SQL 注入的风险。为了正确转义，您可以使用PDOConnection 的quote 方法——假设您通过PDO 连接到MySQL。要对数组的每个条目执行此操作，您可以使用array_map。

在转义每个值并将它们内爆成单个字符串后，您需要将它们放入INSERT 语句中。这可以通过sprintf 完成。

例子：

<?php
$connection = new PDO(/*...*/);
$connection->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);

$dataToBeSaved = [
    'some',
    'data',
    'with "quotes"',
    'and statements\'); DROP DATABASE facebook_main; --'
];


$connection->query(
    sprintf(
        'INSERT INTO table (link) VALUES %s',
        implode(',',
            // for each entry of the array
            array_map(function($entry) use ($connection) { 
                // escape it and wrap it in parenthesis
                return sprintf('(%s)', $connection->quote($entry));
            }, $dataToBeSaved)
        )
    )
);

注意：根据您愿意插入数据库的记录数量，您可能需要将它们拆分为多个 INSERT 语句。

Answer 3

再试一次，我不明白为什么你的原始代码在稍作修改后就不能工作：

$query = "INSERT INTO table (link) VALUES (?)";
$stmt = $mysqli->prepare($query);
$stmt->bind_param("s", $one);

foreach ($array as $one) {
    $stmt->execute();
}
$stmt->close();

Answer 4

是的，您可以手动构建一个大查询，例如：

$query = "";
foreach ($array as $curvalue) {
  if ($query)
    $query .= ",";
  $query .= "('" . $mysqli->real_escape_string($curvalue) . "')";
}
if ($query) {
  $query = "INSERT INTO table (link) VALUES " . $query;
  $mysqli->query($query);
}