常連

### 実現したいこと

SQLインジェクション対策をしつつ
レスポンスは維持したい

### 前提
　
現在、古い仕様の既存サイトのSQLインジェクション対策をしております。
そこで、
PDO::ATTR_EMULATE_PREPARES => false
としてプリペアドステートメントに置き換えているのですが

> PDO::ATTR_EMULATE_PREPARES => false
> このプリペアドステートメント、パフォーマンス的にはあまり良くありません。1つのクエリを実行するために、プレースホルダ付きのクエリを投げた後に、それに値をバインドして実行するコマンドを投げるので、1回のクエリを実行するのに2往復の通信が必要になるのです。

という記事を見つけました

> 変数の値を、正しくエスケープ処理して、SQLに埋め込めば良いのです。

と続けてあったのですが、受け取った変数を指定した型であるか確認したりエスケープ処理した上でSQL文に埋め込んで実行することでも十分とは言わずとも対策としてはされているのでしょうか

PDO::ATTR_EMULATE_PREPARES => falseは必要か

###前提・実現したいこと
PHP・HTMLにてHTMLのボタンを押したらPDOで更新queryを実行したいと考えております。確か無理だと思いますが、このような処理を実行するにはどのようなことを行えばよろしいですか？


###該当のソースコード
```php
<?php

//connecting database processing
require("connect_database.php");

//update query method(call to html button clicked)
function update(){
	//create query contents
	$stmt = $pdo->prepare("UPDATE test SET name = :name WHERE id = :id");
	//bind values
	$params = array(':name' => 'gollira', ':id' => '5');
	//error check
	if(!$stmt){
		$info = $pdo->errorInfo();
		#----もう一度同じ画面に遷移する----
	}
	//finally execute
	$stmt->execute($params);

	#----問題なかったので、次の画面に遷移する----
}

?>

<!DOCTYPE html>
<head>
	title
</head>
<body>
	<form method="post" action="next.php">
		<button type="submit" name="hoge">
			<?php update(); ?>
			実行
		</button>
	</form>
</body>
```

###試したこと
htmlにて直接phpの処理を入れ込みましたが、ボタンを押されずとも実行されてしまって意味がなかったです。
ボタンを押したらPHPメソッドを実行したいと考えています。

###補足情報(言語/FW/ツール等のバージョンなど)
実行環境：XAMPP7.1.6

htmlのformタグにてbuttonをクリックするとphpのメソッドを実行させたい。

### 実現したいこと
MySQLで「既存ならIDを取得し, なければ保存してからIDを取得」を複数一括でやりたいです。
既存判定はユニーク制約のついたカラム`(name, kind)`について走査します。

### 前提
テーブルは以下とします。
```SQL
-- テーブル
CREATE TABLE IF NOT EXISTS test_users (
    id INT PRIMARY KEY AUTO_INCREMENT,
    name VARCHAR(255),
    kind VARCHAR(255),
    age INT,
    UNIQUE KEY unique_name_kind (name, kind)
);

-- 初期データ
INSERT INTO test_users
    (name, kind, age)
VALUES
    ('John', 'TypeA', 25),
    ('John', 'TypeB', 30),
    ('Alice', 'TypeB', 28);
```

### 発生している問題
「一括」ができません。「一回のクエリ」でやりたいのです…。

### 該当のソースコード
まずこちらを書きました。しかし見た感じのクエリは`$sql`の一つですが、`execute()`を複数回やっているので「一括」とは呼べないよなぁと思い、質問させて頂きました。
```PHP
    // 方法1
    // execute() を複数回
    // ON DUPLICATE KEY UPDATE は LAST_INSERT_ID を指定
    final public function bulkInsertAndIfDuplicateGetIds1(array $users): array
    {
        // 返り値のID配列
        $ids = [];

        // INSERT文
        $sql = 'INSERT INTO test_users (name, kind, age)
        VALUES (:name, :kind, :age)
        ON DUPLICATE KEY UPDATE
        id = LAST_INSERT_ID(id)';

        try {
            $stmt = $this->pdo->prepare($sql);

            foreach ($users as $user) {
                $stmt->execute($user);
                $ids[] = $this->pdo->lastInsertId();
            }

            return $ids;
        } catch (\PDOException $e) {
            echo $e->getMessage();
        }
    }
```

### 試したこと
`execute()`を1回とし、`array_fill()`を使い「一括」を試みました。しかし「既存ならIDを取得」ができず、新規IDのみの取得となりました。
```PHP
    // 方法2
    // execute() を1回
    // ON DUPLICATE KEY UPDATE は LAST_INSERT_ID を指定
    final public function bulkInsertAndIfDuplicateGetIds2(array $users): array
    {
        // 返り値のID配列
        $ids = [];

        // INSERT文
        $placeholders = implode(', ', array_fill(0, count($users), '(?, ?, ?)'));
        $sql = 'INSERT INTO test_users (name, kind, age)
        VALUES ' . $placeholders . '
        ON DUPLICATE KEY UPDATE
        id = LAST_INSERT_ID(id)';

        try {
            $stmt = $this->pdo->prepare($sql);

            $params = [];
            foreach ($users as $user) {
                $params = array_merge($params, array_values($user));
            }
            $stmt->execute($params);

            for ($i = 0; $i < count($users); $i++) {
                $ids[] = $this->pdo->lastInsertId();
            }

            return $ids;
        } catch (\PDOException $e) {
            echo $e->getMessage();
        }
    }
```

続いて、`ON DUPLICATE KEY UPDATE` で `LAST_INSERT_ID` を指定することが悪いのかと考え、ユニークキーを指定してみるように変更しました。しかしこちらも上と同様に新規IDのみの取得となりました。
```PHP
    // 方法3
    // execute() を1回
    // ON DUPLICATE KEY UPDATE は ユニークキーを指定
    final public function bulkInsertAndIfDuplicateGetIds3(array $users): array
    {
        // 返り値のID配列
        $ids = [];

        // INSERT文
        $placeholders = implode(', ', array_fill(0, count($users), '(?, ?, ?)'));
        $sql = 'INSERT INTO test_users (name, kind, age)
        VALUES ' . $placeholders . '
        ON DUPLICATE KEY UPDATE
        name = VALUES(name),
        kind = VALUES(kind)';

        try {
            $stmt = $this->pdo->prepare($sql);

            $params = [];
            foreach ($users as $user) {
                $params = array_merge($params, array_values($user));
            }
            $stmt->execute($params);

            for ($i = 0; $i < count($users); $i++) {
                $ids[] = $this->pdo->lastInsertId();
            }

            return $ids;
        } catch (\PDOException $e) {
            echo $e->getMessage();
        }
    }
```

実行用のコードはこちらのリンクにございます。（`__construct()`内の`new PDO()`をご指定頂ければ実行できます。）
https://3v4l.org/pZvuD

もしかして本件において「一括」というのは無理な話なのでしょうか…？
もし無理なのだとしたら、最速とか皆様のオススメなどを知りたいです。

### ツールのバージョン
PHP は 8.2 です。
MySQL はやや古めで 5.7 です。
よろしくお願い致します。

### 追記
「IDを取得」と「一括」について意味がわかりにくいと指摘を受けましたのでご説明させていただきます。

「IDを取得」については `bulkInsertAndIfDuplicateGetIds1()` が成功しています。リンク34行目で `$result1` に `["1","5","3"]` が得れることで「IDを取得」が出来ているという意味です。（既存であった 1,3 を得て、さらに新規に 5 も得れています。）

あとはこれを「一括」でやりたいという意図で、 `bulkInsertAndIfDuplicateGetIds2()`, `bulkInsertAndIfDuplicateGetIds3()` を試しました。

そして「一括」かどうかは下記の違いを意図しておりました。
```SQL
-- 「一括」である
INSERT INTO test_datas(xxx)
VALUES ('aaa'), ('bbb');

-- 「一括」ではない
INSERT INTO test_datas(xxx)
VALUES ('aaa');
INSERT INTO test_datas(xxx)
VALUES ('bbb');
```

なので `bulkInsertAndIfDuplicateGetIds1()` は「一括」ではありませんが、「IDを取得」はできています。
逆に `bulkInsertAndIfDuplicateGetIds2()`, `bulkInsertAndIfDuplicateGetIds3()` は「一括」ですが、しかし「IDを取得」はできておらず、 `["4","4","4"]` になってしまいます。

以上のように「IDを取得」と「一括」をイメージしており、この両立を目指しているという次第です。



MySQLで「既存ならIDを取得し, なければ保存してからIDを取得」を複数一括でやる方法

ターミナルで`php -S 127.0.0.1:8000`として、`http://127.0.0.1:8000`を開くと
`SQLSTATE[HY000] [2002] Connection refused`と出てしまいます。。。

どのようにしたらこのエラーを無くせますか。

```php
<?php

define('DB_DATABASE', 'dotinstall_db');
define('DB_USERNAME', 'dbuser');
define('DB_PASSWORD', '******');
define('PDO_DSN', 'mysql:host=127.0.0.1;dbname='.DB_DATABASE);

try{
  // connect
  $db = new PDO(PDO_DSN, DB_USERNAME, DB_PASSWORD);
  $db->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);

  // insert
  $db->exec("insert into users (name,score) values ('taguchi', 55)");
  echo "user added!";

  //disconnect
  $db = null;
  

}catch(PDOException $e){
  echo $e->getMessage();
  exit;
}
```

ネットなどで検索してその通りにやってもうまくいきません。どうかよろしくお願いします。

##version
PHP 7.1.16
Mysql 8.0.13

Connection refusedされてしまう

http://qiita.com/ozawan/items/caf6e7ddec7c6b31f01e
こちらの記事を参考にphp7をcentos6系にインストールしました。

laravelでデータベースをマイグレーションしようとしたところ、「could not found driver」というエラーがでたので、php.iniをみたところ、mysqlのドライバーが設定されていないことに気づきました。
![イメージ説明](5a3f3fef6f2f1b0ad0f68dd976ab83bf.png)


色々と調べてドライバーのインストール等試みたのですが、パッケージの依存性などが原因で上手くいきませんでした。


そもそもわざわざドライバーをインストールしなくともpdoでmysqlに接続できたと思うのですが、php7は違うのでしょうか？
(pdoのmysqlに関するmoduleが見当たらなかったのでやはり自分でインストールのでしょうか・・)

PHP７でpdoのドライバーをmysqlにする方法を教えて下さい！

php7でpdoのmysqlドライバーがない！？

###前提・実現したいこと
いつも大変お世話になっております。

SQLSTATE[42000]: Syntax error or access violation:が
発生して困っております。

しかも、UPDATEは実行されており、データは更新します。
しかし、上記エラーが発行されて・・・

SQL文が間違えていれば、更新しないと思うので、完全に
頭打ちで・・・

解決策をご存知のかた、ご教授くださいませ。

よろしくお願いします。

###発生している問題・エラーメッセージ

```
SQLSTATE[42000]: Syntax error or access violation: 1064 You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near '-5' at line 1
```

###該当のソースコード
```ここに言語を入力
		$valEditcd = filter_input(INPUT_POST,"editcd");
		//エディット
		$sql = "update t_kigyo_cmnt set actman = :actman, actday = :actday, kubun = :kubun, content = :content, updatetime = :updatetime ";
		$sql .= "where id = :id";
		$aql = "select * from t_kigyo_cmnt where id = :id for update";
		$valActman = filter_input(INPUT_POST,"actman".$valEditcd);
		$valActday = filter_input(INPUT_POST,"actday".$valEditcd);
		$valKubun = filter_input(INPUT_POST,"kubun".$valEditcd);
		$valContent = filter_input(INPUT_POST,"content".$valEditcd);
		try {
			// 静的プレースホルダを指定
			$pdo -> setAttribute(PDO::ATTR_EMULATE_PREPARES, false);
			// エラー発生時に例外を投げる
			$pdo -> setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);
			//トランザクション開始
			$pdo -> beginTransaction();
			//for update (LOCK)
			$stmt1 = $pdo -> prepare($aql);
			$stmt1 -> bindValue(':id', $valEditcd,PDO::PARAM_INT);
			$stmt1 -> execute();
			// update
			$stmt = $pdo -> prepare($sql);
			$stmt -> bindValue(':actman', $valActman ,PDO::PARAM_STR);
			$stmt -> bindValue(':actday', $valActday ,PDO::PARAM_STR);
			$stmt -> bindValue(':kubun', $valKubun ,PDO::PARAM_INT);
			$stmt -> bindValue(':content', $valContent ,PDO::PARAM_STR);
			$stmt -> bindValue(':updatetime', date('Y/m/d H:i:s'),PDO::PARAM_STR);
			$stmt -> bindValue(':id', $valEditcd,PDO::PARAM_INT);
			$stmt -> execute();
			//$stmt->debugDumpParams();
			$stmt -> closeCursor();
			//コミット
			$pdo -> commit();
		} catch (PDOException $e){
			//ロールバック
			$pdo ->rollBack();
			die($e->getMessage());
		}

```

###補足情報(言語/FW/ツール等のバージョンなど)
POSTの中身
$valActman : string(12) "山田太郎" 
$valActday : string(10) "2016/12/26" 
$valKubun : string(1) "2" 
$valContent : string(149) "ほんまにそうですよね。更新してんじゃん なんでやねん 不思議 ほんま できたわ あかん" 

debugDumpParams();の結果
SQL: [135] update t_kigyo_cmnt set actman = :actman, actday = :actday, kubun = :kubun, content = :content, updatetime = :updatetime where id = :id Params: 6 Key: Name: [7] :actman paramno=0 name=[7] ":actman" is_param=1 param_type=2 Key: Name: [7] :actday paramno=1 name=[7] ":actday" is_param=1 param_type=2 Key: Name: [6] :kubun paramno=2 name=[6] ":kubun" is_param=1 param_type=1 Key: Name: [8] :content paramno=3 name=[8] ":content" is_param=1 param_type=2 Key: Name: [11] :updatetime paramno=4 name=[11] ":updatetime" is_param=1 param_type=2 Key: Name: [3] :id paramno=5 name=[3] ":id" is_param=1 param_type=1

SQLSTATE[42000]: Syntax error or access violation: が発生するが原因がわからない

こんにちは。

タイトルの通り、$stmt=の存在意義がわかりません。

例えば、
```php
$stmt = $pdo->prepare("SELECT * FROM table_name WHERE flag='0'");
$flag = $stmt->execute();
```
といった例ならば、$stmtを利用しているのがまだ目に見えてわかるのですが、

```php
$stmt = $pdo->query('SET NAMES utf8');
```
は何のために$stmtを文頭に置いているのか分からず、更に
```php
$db->query($sql); //$sqlはこれよりも前に指定済み
```
に至っては、先ほどのqueryで文頭に使われていた$stmtが消えています。
なので何が何だか分からずひどく混乱しています。
どなたかわかりやすい解説をお願いいたします........。

phpでmysqlを操作する時の、文頭の$stmt = の意味

prepareとexecuteとqueryの使い分けについて教えてください。

PHPマニュアルを見ても全然理解できずです。

私の認識では、
prepareとexecuteはセットでINSERTするときに使うとおもっています。

```ここに言語を入力
$sql = "INSERT INTO user_data(・・・) VALUES (・・・)"
$stmt = $pdo->prepare($sql);
$stmt->execute([・・・]);
```

preparaでsql文をセットする。
そのセットしたsql文をexecuteでバインドしていく。
という認識で大丈夫でしょうか？



queryはSELECTするときに使うと思っています。

```ここに言語を入力
$sql = "SELECT id FROM user_data";
$stmt = $pdo->query($sql);
```

これはネットで見ている限りこういった使い方が多いから
こういうもんなんだなって思っています。

ただ、
こういうもんなんだなって思って使っていて、なぜそれを使わないといけないのか理解してないので


```ここに言語を入力
$sql = "INSERT INTO user_data(・・・) VALUES (・・・)"
$stmt = $pdo->query($sql);
$stmt->execute([・・・]);
```
とか
```ここに言語を入力
$sql = "SELECT id FROM user_data";
$stmt = $pdo->prepare($sql);
```

とかやったらどうなんだろう？ダメなの？なんで？

ってなっちゃいます。

分かりやすく解説頂けると助かります。
宜しくお願いします。