Klasa do połączeń i zapytań SQL Opcje

[Zagiewa]

Witam. Chcę stworzyć klasę do połączenia SQL w której będą też metody do zapytań jednak zależy mi na stworzeniu bardzo wydajnej klasy, a co więcej, żeby cały kod był dobrej jakości dlatego też ja mam pomysł i jakiś zalążek wiedzy, wy za to duże doświadczenie więc liczę, że mi trochę pomożecie (IMG:style_emoticons/default/smile.gif) Głównym motywem na chwile obecną jest stworzenie metod, które będą generowane w zależności od tego co będziemy chcieli osiągnąć. Poniżej zamieszczę kod, który do tej pory napisałem, a pod nim pytania.

[PHP] pobierz, plaintext 
<?php
 
class connection {
 
	private $DB;
 
	function __construct($DB_in) {
 
		$this->DB = $DB_in;
	}
 
	public function SQL_connect() {
 
		include('static.php');
 
		$sql = mysql_connect(SQL_HOST, SQL_USER, SQL_PASS) or
		die("Sprawdź połączenie z serwerem! " . mysql_error());
		mysql_query("SET NAMES 'utf8'");
 
		mysql_select_db($this->DB, $sql) or
		die("Sprawdź bazę! " . mysql_error());
	}
 
	public function select_table($what_in, $from_in) {
 
		$pobierz = "SELECT $what_in FROM $from_in";
		$result = mysql_query($pobierz) or
		die("Sprawdź rezultat! " . mysql_error());
 
		while($row = mysql_fetch_array($result)) {
 
			$a = $row[$what_in];
			echo $a. "<br />";
		}
	}
}
 
?>
[PHP] pobierz, plaintext 

[PHP] pobierz, plaintext 
<?php
 
	include('class.php');
	$connect = new connection("nazwa_bazy");
	$connect->SQL_connect();
	$connect->select_table("id", "nazwa_tabeli");
 
?>
[PHP] pobierz, plaintext 

1. Chciałem aby można było za pomocą jednej metody łączyć się z różnymi bazami dlatego zanim wywołamy metodę SQL_connect() dzięki konstruktorowi podajemy, która baza nas interesuje. Teraz pytanie czy rozwiązanie to jest dobre? Czy może lepiej było by usunąć konstruktor i nazwę bazy podać bezpośrednio do metody czyli: SQL_connect("nazwa_bazy")?
2. Jak wiadomo zanim wykonamy jakiekolwiek operacje na tabelach w bazie trzeba się połączyć z bazą więc łączenie z SQL MUSI się odbyć prawda? więc zastanawiam się czy by nie zrezygnować z metody SQL_connect() i całość kodu wstawić w konstruktor wyglądało by to tak:

[PHP] pobierz, plaintext 
function __construct($DB_in) {
 
		$this->DB = $DB_in;
 
		include('static.php');
 
		$sql = mysql_connect(SQL_HOST, SQL_USER, SQL_PASS) or
		die("Sprawdź połączenie z serwerem! " . mysql_error());
		mysql_query("SET NAMES 'utf8'");
 
		mysql_select_db($this->DB, $sql) or
		die("Sprawdź bazę! " . mysql_error());
	}
[PHP] pobierz, plaintext 

Ma to sens? Mam jeszcze pytania odnośnie metody select_table() ale to innym razem. Jeśli macie ew. jakieś zastrzeżenia co do tego kodu to piszcie. Z góry dzięki (IMG:style_emoticons/default/smile.gif)

[darko]

Mam wrażenie, że sam sobie nieco utrudniasz życie. Nikt Ci nie każe preparować nazw tabel, ani nazw poszczególnych kolumn, gdyż - można powiedzieć, że - dane, które pochodzą od Ciebie są zaufane i można je spokojnie wstawiać (konkatenować) bezpośrednio do treści zapytań, uzyskując efekt, o którym wcześniej napisałeś (parametryzacja nazw kolumn i tabel), prosty przykład:

[PHP] pobierz, plaintext 
function pdo_select_all(PDO $pdo, $co = null, $gdzie = null)
{
  $return = false;
  // SELECT $co FROM $gdzie
  if(!is_null($co) && !is_null($gdzie))
  {
    $sth = $pdo->prepare('SELECT ' . $co . ' FROM ' . $gdzie);
    $sth->execute();
    $return = $sth->fetchAll();
    $sth->closeCursor();
  }
  return $return;
}
 
print_r(pdo_select_all($pdo, $what, $from));
// gdzie $pdo to obiekt klasy PDO
[PHP] pobierz, plaintext 

Preparowania i bindowania używa się na danych pochodzących z zewnątrz, w celu uniknięcia potencjalnego zagrożenia ze strony nieuczciwych użytkowników. Ponieważ nie można preparować nazw tabel (gdyż są one w zapytaniach quotowane) najlepiej bindować tylko te dane, co do których mamy pewność, że mogą stanowić potencjalne zagrożenie dla zapytania, czyli generalnie wszystko to, co pochodzi od użytkowników. A więc w przypadku wyciągania danych, bindujemy tylko cześć warunku następującą po WHERE, ewentualnie wartość LIMIT, jeżeli oczywiście limitujemy wyniki. Mam nadzieję, że nieco Ci wytłumaczyłem, na czym problem polega i podsunąłem odpowiednią wskazówkę, w jaki sposób można osiągnąć efekt, o który pytasz. Przyznam, że dawno nie korzystałem z "gołego" PDO, natomiast z tego, co pamiętam w Zendzie była klasa Zend_Db_Expr, która pozwalała na bezpośrednie parametryzowanie fragmentów zapytań np. new Zend_Db_Expr('COUNT(schema1_lines.id) AS lines')) dzięki czemu można było uniknąć quotowania.

Ten post edytował darko 24.02.2011, 16:00:12