LIMIT句でbindValueメソッドを適用する方法は？

これが私のコードのスナップショットです：

$fetchPictures = $PDO->prepare("SELECT * 
    FROM pictures 
    WHERE album = :albumId 
    ORDER BY id ASC 
    LIMIT :skip, :max");

$fetchPictures->bindValue(':albumId', $_GET['albumid'], PDO::PARAM_INT);

if(isset($_GET['skip'])) {
    $fetchPictures->bindValue(':skip', trim($_GET['skip']), PDO::PARAM_INT);    
} else {
    $fetchPictures->bindValue(':skip', 0, PDO::PARAM_INT);  
}

$fetchPictures->bindValue(':max', $max, PDO::PARAM_INT);
$fetchPictures->execute() or die(print_r($fetchPictures->errorInfo()));
$pictures = $fetchPictures->fetchAll(PDO::FETCH_ASSOC);

私は得る

SQL構文にエラーがあります。MySQLサーバーのバージョンに対応するマニュアルで、1行目の '' 15 '、15'付近で使用する正しい構文を確認してください

PDOがSQLコードのLIMIT部分の変数に単一引用符を追加しているようです。私はそれを調べたところ、関連していると思われるこのバグを見つけました：http : //bugs.php.net/bug.php?id=44639

それは私が見ているものですか？このバグは2008年4月からオープンしています。その間、私たちは何をすべきか？

SQL文を送信する前に、ページ分割を作成し、データがクリーンでSQLインジェクションセーフであることを確認する必要があります。

以前にこの問題があったことを覚えています。バインド関数に渡す前に、値を整数にキャストします。これで解決すると思います。

$fetchPictures->bindValue(':skip', (int) trim($_GET['skip']), PDO::PARAM_INT);

最も簡単な解決策は、エミュレーションモードをオフにすることです。次の行を追加するだけでそれを行うことができます

$PDO->setAttribute( PDO::ATTR_EMULATE_PREPARES, false );

また、このモードは、PDO接続の作成時にコンストラクターパラメーターとして設定できます。ドライバーがsetAttribute()関数をサポートしていないと報告している人もいるので、より良い解決策になるかもしれません。

バインディングに関する問題を解決するだけでなく、値をに直接送信execute()できるため、コードが大幅に短くなります。エミュレーションモードが既に設定されていると仮定すると、全体の作業には6行ものコードが必要になります。

$skip = isset($_GET['skip']) ? (int)trim($_GET['skip']) : 0;
$sql  = "SELECT * FROM pictures WHERE album = ? ORDER BY id LIMIT ?, ?";
$stmt  = $PDO->prepare($sql);
$stmt->execute([$_GET['albumid'], $skip, $max]);
$pictures = $stmt->fetchAll(PDO::FETCH_ASSOC);

バグレポートを見ると、次のことが機能する可能性があります。

$fetchPictures->bindValue(':albumId', (int)$_GET['albumid'], PDO::PARAM_INT);

$fetchPictures->bindValue(':skip', (int)trim($_GET['skip']), PDO::PARAM_INT);  

しかし、あなたの入ってくるデータは正しいですか？エラーメッセージには、は、数字の後に引用符 1つ（数字全体が引用符で囲まれているのではなく）。これは、受信データのエラーである可能性もあります。あなたはprint_r($_GET);見つけるために行うことができますか？

これは要約です。
LIMIT / OFFSET値をパラメーター化する4つのオプションがあります。

1. 無効にPDO::ATTR_EMULATE_PREPARES述べたように、上記。

   渡された値が->execute([...])常に文字列として表示されるのを防ぎます。

2. 手動に切り替え ->bindValue(..., ..., PDO::PARAM_INT)パラメーター入力にます。

   ただし、->実行リスト[]ほど便利ではありません。

3. ここで例外を作成し、SQLクエリを準備するときに単純な整数を補間するだけです。

    $limit = intval($limit);
    $s = $pdo->prepare("SELECT * FROM tbl LIMIT {$limit}");

   キャスティングは重要です。より一般的には->prepare(sprintf("SELECT ... LIMIT %d", $num))、そのような目的で使用されることがわかります。

4. MySQLを使用していないが、たとえばSQLiteやPostgresを使用している場合。バインドされたパラメーターをSQLで直接キャストすることもできます。

    SELECT * FROM tbl LIMIT (1 * :limit)

   ここでも、MySQL / MariaDBはLIMIT句の式をサポートしていません。未だに。

ために LIMIT :init, :end

あなたはそのようにバインドする必要があります。あなたが$req->execute(Array());それがPDO::PARAM_STR配列のすべての変数にキャストするのでそれが機能しないのでLIMITあなたが絶対に整数を必要とするような何かを持っていた場合。必要に応じてbindValueまたはBindParam。

$fetchPictures->bindValue(':albumId', (int)$_GET['albumid'], PDO::PARAM_INT);

これがなぜ起こっているのか誰も説明していないので、私は答えを追加しています。これが動作する理由は、を使用しているためですtrim()。のPHPマニュアルを見るtrimと、戻り値の型はstringです。次に、これをとして渡そうとしていPDO::PARAM_INTます。これを回避するいくつかの方法は次のとおりです。

1. 使用する filter_var($integer, FILTER_VALIDATE_NUMBER_INT)整数を渡すことを確認するためにします。
2. 他の人が言ったように、 intval()
3. キャスティング (int)
4. それが整数かどうかをチェックする is_int()

他にもたくさんの方法がありますが、これが根本的な原因です。

bindValueのオフセットとPDO :: PARAM_INTを使用した制限とそれは動作します

// BEFORE（現在のエラー）$ query = ".... LIMIT：p1、30;"; ... $ stmt-> bindParam（ '：p1'、$ limiteInferior）;

// AFTER（エラー修正済み）$ query = ".... LIMIT：p1、30;"; ... $ limiteInferior =（int）$ limiteInferior; $ stmt-> bindParam（ '：p1'、$ limiteInferior、PDO :: PARAM_INT）;

PDO::ATTR_EMULATE_PREPARES 私にくれた

ドライバーはこの機能をサポートしていません：このドライバーは属性の設定エラーをサポートしていません。

私の回避策は$limit、次の例のように、変数を文字列として設定し、それをprepareステートメントで結合することでした。

$limit = ' LIMIT ' . $from . ', ' . $max_results;
$stmt = $pdo->prepare( 'SELECT * FROM users WHERE company_id = :cid ORDER BY name ASC' . $limit . ';' );
try {
    $stmt->execute( array( ':cid' => $company_id ) );
    ...
}
catch ( Exception $e ) {
    ...
}

PHPの異なるバージョンとPDOの奇妙さの間には多くのことが起こっています。ここで3つまたは4つの方法を試しましたが、LIMITを機能させることができませんでした。
私の提案は、intval（）フィルターを使用した文字列フォーマット/連結を使用することです：

$sql = 'SELECT * FROM `table` LIMIT ' . intval($limitstart) . ' , ' . intval($num).';';

特に$ _GETなどから制限を取得している場合は、SQLインジェクションを防ぐためにintval（）を使用することが非常に重要です。 その場合、これがLIMITを機能させる最も簡単な方法です。

「PDOでのLIMITの問題」についての話はたくさんありますが、ここでの私の考えは、PDOパラメータは常に整数であり、クイックフィルタが機能するため、LIMITに使用されることは決してないということです。それでも、SQLインジェクションフィルタリングを自分で行うのではなく、「PDOで処理する」という哲学が常にされているため、少し誤解を招く可能性があります。