PDO MySQL: использовать PDO:: ATTR эмулировать готовит или нет?

чтобы ответить на ваши вопросы:

1. MySQL >= 5.1.17 (или >= 5.1.21 для PREPARE и EXECUTE заявления) можно использовать подготовленные операторы в кэше запросов. Таким образом, ваша версия MySQL+PHP может использовать подготовленные операторы с кэшем запросов. Однако, принять во внимание предостережения для кэширования результатов запроса в документации MySQL. Есть много видов запросов, которые не могут быть кэшированы или которые бесполезны, даже если они кэшируются. В моем опыт кэш запросов не часто очень большой выигрыш в любом случае. Запросы и схемы нуждаются в специальной конструкции, чтобы максимально использовать кэш. Часто кэширование на уровне приложения в конечном итоге оказывается необходимым в любом случае в долгосрочной перспективе.

2. родной готовит не имеет никакого значения для безопасности. Псевдо-подготовленные операторы все равно будут экранировать значения параметров запроса, это будет просто сделано в библиотеке PDO со строками, а не на сервере MySQL с использованием двоичного кода протокол. Другими словами, один и тот же код PDO будет одинаково уязвим (или не уязвим) для инъекционных атак независимо от вашего EMULATE_PREPARES настройка. Единственное различие заключается в том, где происходит замена параметра--с EMULATE_PREPARES, это происходит в библиотеке PDO; без EMULATE_PREPARES, это происходит на сервере MySQL.

3. без EMULATE_PREPARES вы можете получить синтаксические ошибки во время подготовки, а не во время выполнения; с EMULATE_PREPARES вы получите только синтаксические ошибки во время выполнения потому что PDO не имеет запроса, чтобы дать MySQL до времени выполнения. Обратите внимание, что это влияет на код вы будете писать! Особенно если вы используете PDO::ERRMODE_EXCEPTION!

еще одно соображение:

• существует фиксированная стоимость для prepare() (используя собственные подготовленные операторы), поэтому a prepare();execute() С собственными подготовленными операторами может быть немного медленнее, чем выдача простого текстового запроса с использованием эмулированных подготовленных операторов. На многих системы баз данных план запроса для prepare() также кэшируется и может использоваться совместно с несколькими соединениями, но я не думаю, что MySQL делает это. Поэтому, если вы не используете подготовленный объект оператора для нескольких запросов, ваше общее выполнение может быть медленнее.

в качестве окончательной рекомендации, я думаю, что с более старыми версиями MySQL + PHP вы должны эмулировать подготовленные операторы, но с вашими очень последними версиями вы должны включить эмуляцию выключено.

после написания нескольких приложений, которые используют PDO, я сделал функцию подключения PDO, которая имеет то, что я думаю, являются лучшими настройками. Вероятно, вы должны использовать что-то вроде этого или настроить предпочтительные настройки:

/**
 * Return PDO handle for a MySQL connection using supplied settings
 *
 * Tries to do the right thing with different php and mysql versions.
 *
 * @param array $settings with keys: host, port, unix_socket, dbname, charset, user, pass. Some may be omitted or NULL.
 * @return PDO
 * @author Francis Avila
 */
function connect_PDO($settings)
{
    $emulate_prepares_below_version = '5.1.17';

    $dsndefaults = array_fill_keys(array('host', 'port', 'unix_socket', 'dbname', 'charset'), null);
    $dsnarr = array_intersect_key($settings, $dsndefaults);
    $dsnarr += $dsndefaults;

    // connection options I like
    $options = array(
        PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION,
        PDO::ATTR_DEFAULT_FETCH_MODE => PDO::FETCH_ASSOC
    );

    // connection charset handling for old php versions
    if ($dsnarr['charset'] and version_compare(PHP_VERSION, '5.3.6', '<')) {
        $options[PDO::MYSQL_ATTR_INIT_COMMAND] = 'SET NAMES '.$dsnarr['charset'];
    }
    $dsnpairs = array();
    foreach ($dsnarr as $k => $v) {
        if ($v===null) continue;
        $dsnpairs[] = "{$k}={$v}";
    }

    $dsn = 'mysql:'.implode(';', $dsnpairs);
    $dbh = new PDO($dsn, $settings['user'], $settings['pass'], $options);

    // Set prepared statement emulation depending on server version
    $serverversion = $dbh->getAttribute(PDO::ATTR_SERVER_VERSION);
    $emulate_prepares = (version_compare($serverversion, $emulate_prepares_below_version, '<'));
    $dbh->setAttribute(PDO::ATTR_EMULATE_PREPARES, $emulate_prepares);

    return $dbh;
}