pg_query_params

(PHP 5 >= 5.1.0)

pg_query_params — SQL コマンドとパラメータを分割してサーバにを送信し、その結果を待つ

説明

resource pg_query_params ([ resource $connection ], string $query , array $params )

コマンドをサーバに送信し、その結果を待ちます。パラメータを SQL コマンドとは別に渡すことが可能です。

pg_query_params() は pg_query() と似ていますが、追加の機能を有しています。それはパラメータ値がコマンド文字列と分離しているということです。 pg_query_params() は PostgreSQL 7.4 以降の接続でのみサポートされます。それ以前のバージョンでは失敗します。

パラメータを使用する際は、query 文字列内で $1、$2 のように参照されます。params で実際の値を指定します。NULL を指定すると、SQL の NULL とみなされます。

pg_query() に対する pg_query_params() の最大の利点は、パラメータの値を query 文字列から分離できることです。そのため、退屈でエラーの元となりやすいクォート・エスケープなどをしなくてもよくなります。pg_query() と異なり、pg_query_params() ではひとつの SQL コマンドしか実行できません（クエリ文字列にセミコロンを含めることは可能です。しかしそれ以降にコマンドを続けることはできません）。

パラメータ

connection: PostgreSQL データベース接続リソース。connection が指定されていない場合はデフォルトの接続が使用されます。デフォルトの接続は、直近の pg_connect() あるいは pg_pconnect() によって作成されたものです。
query: パラメータ化した SQL 文。ひとつの文のみである必要があります（複数の文をセミコロンで区切る形式は使用できません）。パラメータを使用する際は $1、$2 などの形式で参照されます。
params: プリペアドステートメント中の $1、$2 などのプレースホルダを置き換えるパラメータの配列。配列の要素数はプレースホルダの数と一致する必要があります。

返り値

成功した場合にクエリ結果リソース、失敗した場合に FALSE を返します。

例

例1 pg_query_params() の使用法


<?php
// "mary"という名前のデータベースに接続
$dbconn = pg_connect("dbname=mary");

// Joe's Widgets という名前の店を探す。"Joe's Widgets" を
// エスケープする必要がないことに注意
$result = pg_query_params($dbconn, 'SELECT * FROM shops WHERE name = $1', array("Joe's Widgets"));

// pg_query を使用した場合と比較
$str = pg_escape_string("Joe's Widgets");
$result = pg_query($dbconn, "SELECT * FROM shops WHERE name = '{$str}'");

?>

参考

pg_query() - クエリを実行する

pg_query

pg_put_line

Last updated: Fri, 13 Nov 2009

add a note User Contributed Notes
pg_query_params

strata_ranger at hotmail dot com
24-May-2009 04:03


Regarding boolean values, just typecast them as (integer) when passing them in your query -- '0' and '1' are perfectly acceptable literals for SQL boolean input:



- http://www.postgresql.org/docs/8.2/interactive/datatype-boolean.html



It is also safe to write your paramerized query in double-quotes, which allows you to mix constant values and placeholders in your query without having to worry about how whether PHP will attempt to substitute any variables in your parameterized string.



Of course this also means that unlike PHP's double-quoted string syntax, you CAN include literal $1, $2, etc. inside SQL strings, e.g:



<?php

// Works ($1 is a placeholder, $2 is meant literally)

pg_query_params("INSERT INTO foo (col1, col2) VALUES ($1, 'costs $2')", Array($data1));



// Throws an E_WARNING (passing too many parameters)

pg_query_params("INSERT INTO foo (col1, col2) VALUES ($1, 'costs $2')", Array($data1, $data2));

?>

jsnell at e-normous dot com
26-Sep-2007 10:57


When inserting into a pg column of type bool, you cannot supply a PHP type of bool.  You must instead use a string "t" or "f". PHP attempts to change boolean values supplied as parameters to strings, and then attempts to use a blank string for false.



Example of Failure:

pg_query_params('insert into table1 (bool_column) values ($1)', array(false));



Works:

pg_query_params('insert into lookup_permissions (system) values ($1)', array(false ? 't' : 'f'));

dt309 at f2s dot com
22-Dec-2006 08:11


If you need to provide multiple possible values for a field in a select query, then the following will help.



<?php

// Assume that $values[] is an array containing the values you are interested in.

$values = array(1, 4, 5, 8);



// To select a variable number of arguments using pg_query() you can use:

$valuelist = implode(', ', $values);

$query = "SELECT * FROM table1 WHERE col1 IN ($valuelist)";

$result = pg_query($query)

    or die(pg_last_error());



// You may therefore assume that the following will work.

$query = 'SELECT * FROM table1 WHERE col1 IN ($1)';

$result = pg_query_params($query, array($valuelist))

    or die(pg_last_error());

// Produces error message: 'ERROR: invalid input syntax for integer'

// It only works when a SINGLE value specified.



// Instead you must use the following approach:

$valuelist = '{' . implode(', ', $values . '}'

$query = 'SELECT * FROM table1 WHERE col1 = ANY ($1)';

$result = pg_query_params($query, array($valuelist));

?>



The error produced in this example is generated by PostGreSQL.



The last method works by creating a SQL array containing the desired values. 'IN (...)' and ' = ANY (...)' are equivalent, but ANY is for working with arrays, and IN is for working with simple lists.

mledford
04-Oct-2006 03:18


If you are trying to replicate the function pg_query_params, you might also want to support NULL values. While is_int returns true for a NULL value, the formatting for the SQL.



function pg_query_params( $db, $query, $parameters ) {

    // Escape parameters as required & build parameters for callback function

    global $pg_query_params__parameters;

    foreach( $parameters as $k=>$v ) {

        if ( is_null($v) ) {

            $parameters[$k] = 'NULL';

        } else {

            $parameters[$k] = ( is_int( $v ) ? $v : "'".pg_escape_string( $v )."'" );

        }

    }

    $pg_query_params__parameters = $parameters;

        

    // Call using pg_query

    return pg_query( $db, preg_replace_callback( '/\$([0-9]+)/', 'pg_query_params__callback', $query));

}

cc+php at c2se dot com
02-Sep-2006 12:17


This is a useful function for preventing SQL injection attacks, so, for those of us who are not yet able to upgrade to PHP5.1, here is a replacement function which works similarly on older versions of PHP...



<?php   # Parameterised query implementation for Postgresql and older versions of PHP



        if( !function_exists( 'pg_query_params' ) ) {



                function pg_query_params__callback( $at ) {

                        global $pg_query_params__parameters;

                        return $pg_query_params__parameters[ $at[1]-1 ];

                }



                function pg_query_params( $db, $query, $parameters ) {



                        // Escape parameters as required & build parameters for callback function

                        global $pg_query_params__parameters;

                        foreach( $parameters as $k=>$v )

                                $parameters[$k] = ( is_int( $v ) ? $v : "'".pg_escape_string( $v )."'" );

                        $pg_query_params__parameters = $parameters;



                        // Call using pg_query

                        return pg_query( $db, preg_replace_callback( '/\$([0-9]+)/', 'pg_query_params__callback', $query ) );



                }

        }



        // Example: pg_query_params( $db_resource, "SELECT * FROM table WHERE col1=$1 AND col2=$2", array( 42, "It's ok" ) );

?>

add a note

pg_query

pg_put_line

Last updated: Fri, 13 Nov 2009