PHPで理解するプリペアドステートメント！初心者向けの5ステップ

はじめに
- ○プリペアドステートメントの利点
●プリペアドステートメントの作成方法
●プリペアドステートメントの応用例
- ○サンプルコード4：複数のデータを扱うプリペアドステートメント
- ○サンプルコード5：トランザクション処理を行うプリペアドステートメント
●注意点と対処法
まとめ

はじめに

PHPでデータベースとやり取りするとき、直接SQL文を作成するのではなく、プリペアドステートメントという技術を利用すると、よりセキュアで効率的なコードを書くことができます。

具体的には、プリペアドステートメントはSQL文を準備するための手法で、SQLインジェクションというセキュリティ上の脅威から保護する効果があります。

○プリペアドステートメントの利点

プリペアドステートメントを使用すると、データベースサーバーは1度SQL文を解析、コンパイル、最適化します。

そして、その後の実行では、これらのステップを省略できるため、パフォーマンスが向上します。

また、最大の利点はセキュリティ向上です。

ユーザーから提供されたデータを直接SQL文に組み込むと、SQLインジェクション攻撃のリスクが生じます。

プリペアドステートメントを使用すると、この問題を回避できます。

●プリペアドステートメントの作成方法

PHPのPDO（PHP Data Objects）拡張モジュールを使用してプリペアドステートメントを作成します。

PDOは、異なるデータベースサーバー間で共通のインターフェースを提供します。

○サンプルコード1：基本的なプリペアドステートメントの作成

まずは、PDOを使用してMySQLデータベースに接続し、プリペアドステートメントを作成する基本的なコードを見てみましょう。

<?php
// PDOを使用してデータベースに接続
$dbh = new PDO('mysql:host=localhost;dbname=test', $user, $pass);

// プリペアドステートメントを作成
$stmt = $dbh->prepare("SELECT * FROM users WHERE email = :email");
?>

このコードでは、まずPDOを使ってデータベースに接続します。

次にprepareメソッドを使用してSQL文を準備します。

このSQL文では、ユーザーテーブルから指定したメールアドレスのユーザー情報を選択します。

“:email”はプレースホルダと呼ばれ、後で具体的な値に置き換えられます。

○サンプルコード2：プリペアドステートメントにパラメータをバインドする

次に、プリペアドステートメントに具体的な値をバインドする方法を見てみましょう。

<?php
// パラメータをバインド
$email = 'user@example.com';
$stmt->bindParam(':email', $email);

// プリペアドステートメントを実行
$stmt->execute();
?>

このコードでは、bindParamメソッドを使用してプレースホルダにメールアドレスをバインドします。

そして、executeメソッドでプリペアドステートメントを実行します。

この例では、ユーザーテーブルから指定したメールアドレスを持つユーザーの情報を取得します。

○サンプルコード3：プリペアドステートメントを実行し結果を取得する

プリペアドステートメントを実行した後、結果を取得する方法を見てみましょう。

<?php
// 結果を取得
while ($row = $stmt->fetch()) {
    print_r($row);
}
?>

このコードでは、fetchメソッドを使って結果を取得します。

この例では、指定したメールアドレスを持つユーザーの情報を取得して表示しています。

以上が、プリペアドステートメントの基本的な作成と実行の手順です。

しかし、プリペアドステートメントはこれだけではありません。

次に、複数のデータを一度に処理したり、トランザクションを扱う方法など、プリペアドステートメントのさまざまな応用例を見てみましょう。

●プリペアドステートメントの応用例

ここでは、プリペアドステートメントを用いて、より複雑なシナリオに対応する方法を解説します。

複数のデータを一度に処理したり、トランザクションを扱ったりする例を見ていきましょう。

○サンプルコード4：複数のデータを扱うプリペアドステートメント

一つのプリペアドステートメントを使って、複数のデータをデータベースに挿入する方法を見てみましょう。

<?php
// プリペアドステートメントを作成
$stmt = $dbh->prepare("INSERT INTO users (name, email) VALUES (:name, :email)");

// データを準備
$users = array(
    array('name' => 'Yamada', 'email' => 'yamada@example.com'),
    array('name' => 'Tanaka', 'email' => 'tanaka@example.com'),
    array('name' => 'Suzuki', 'email' => 'suzuki@example.com'),
);

// データを挿入
foreach ($users as $user) {
    $stmt->bindParam(':name', $user['name']);
    $stmt->bindParam(':email', $user['email']);
    $stmt->execute();
}
?>

このコードでは、まずプリペアドステートメントを作成してユーザーテーブルに新しいユーザーを追加します。

次に、複数のユーザーデータを配列で準備します。

そして、foreachループを使用して、各ユーザーデータをバインドして挿入します。

この例では、複数のユーザーデータを一度にデータベースに挿入しています。

○サンプルコード5：トランザクション処理を行うプリペアドステートメント

データベース操作では、時には複数の更新操作を一つのトランザクションとしてまとめる必要があります。

ここでは、プリペアドステートメントとトランザクションを組み合わせた例を見てみましょう。

<?php
// トランザクションを開始
$dbh->beginTransaction();

try {
    // プリペアドステートメントを作成して実行
    $stmt = $dbh->prepare("UPDATE users SET balance = balance - :amount WHERE id = :from_id");
    $stmt->bindParam(':amount', $amount);
    $stmt->bindParam(':from_id', $from_id);
    $stmt->execute();

    $stmt = $dbh->prepare("UPDATE users SET balance = balance + :amount WHERE id = :to_id");
    $stmt->bindParam(':amount', $amount);
    $stmt->bindParam(':to_id', $to_id);
    $stmt->execute();

    // トランザクションをコミット
    $dbh->commit();
} catch (Exception $e) {
    // エラーが発生した場合はロールバック
    $dbh->rollback();
    throw $e;
}
?>

このコードでは、まずデータベースの接続をトランザクションモードに切り替えます。

その後、2つのアップデートクエリをプリペアドステートメントで作成して実行します。

これらはユーザー間の資金の移動を表現しています。全ての操作が成功した場合には、commitメソッドでトランザクションを確定します。

一方で、何かしらのエラーが発生した場合には、rollbackメソッドで全ての操作を取り消します。

この例では、プリペアドステートメントとトランザクションを使って、複数のデータベース操作を一つの単位としてまとめ、データの整合性を保っています。