Prepared Statements - Versionsgeschichte

St170932: Die Seite wurde geleert.

2020-02-24T08:24:56Z

Die Seite wurde geleert.

← Nächstältere Version		Version vom 24. Februar 2020, 08:24 Uhr
Zeile 1:		Zeile 1:
	Ein Prepared Statement ist eine sogenannte vorbereitete Anweisung für ein Datenbanksystem. Im Gegensatz zu gewöhnlichen Statements enthält es noch keine Parameterwerte. Stattdessen werden dem Datenbanksystem Platzhalter übergeben.

	Verwendet eine Anwendung ausschließlich Prepared Statements, ist davon auszugehen, dass keine SQL Injection möglich ist, da das Datenbanksystem die Gültigkeit von Parametern prüft, bevor diese verarbeitet werden. Diese Maßnahme gegen SQL Injection ist aber nicht auf alle DBMS anwendbar.

	Sie besitzen mehrere Vorteile gegenüber direkt ausgeführten SQL Statements. Die Anfrage muss nur einmal geparsed werden, welche dann mehrmals mit anderen Parametern ausgeführt werden kann. Bei der Vorbereitung analysiert und optimiert die Datenbank die Anfrage. Für komplexe und wiederholende Anfragen spart das Ressourcen, Bandbreite und Zeit, weil nur die Parameter und nicht die gesamte Query gesendet wird.

	~~Die Nutzereingaben, bzw. die Paramter müssen nicht maskiert werden. Lediglich die SQL Query wird kompiliert und die Parameter als Variable gesehen, welche nie geparsed werden.~~

	~~Beispiel eines Prepared Statement in PHP mit PHP Data Objects:~~
	~~[[Datei:Prepared Statement Beispiel.png\|gerahmt\|links]]~~

St170932 am 11. Februar 2020 um 16:16 Uhr

2020-02-11T16:16:18Z

← Nächstältere Version		Version vom 11. Februar 2020, 16:16 Uhr
Zeile 8:		Zeile 8:

	Beispiel eines Prepared Statement in PHP mit PHP Data Objects:		Beispiel eines Prepared Statement in PHP mit PHP Data Objects:
			[[Datei:Prepared Statement Beispiel.png\|gerahmt\|links]]

St170932 am 11. Februar 2020 um 16:13 Uhr

2020-02-11T16:13:28Z

← Nächstältere Version		Version vom 11. Februar 2020, 16:13 Uhr
Zeile 8:		Zeile 8:

	Beispiel eines Prepared Statement in PHP mit PHP Data Objects:		Beispiel eines Prepared Statement in PHP mit PHP Data Objects:
	~~[[Datei:Prepared Statement Beispiel.png\|mini]]~~

St170932 am 11. Februar 2020 um 16:11 Uhr

2020-02-11T16:11:10Z

← Nächstältere Version		Version vom 11. Februar 2020, 16:11 Uhr
Zeile 6:		Zeile 6:

	Die Nutzereingaben, bzw. die Paramter müssen nicht maskiert werden. Lediglich die SQL Query wird kompiliert und die Parameter als Variable gesehen, welche nie geparsed werden.		Die Nutzereingaben, bzw. die Paramter müssen nicht maskiert werden. Lediglich die SQL Query wird kompiliert und die Parameter als Variable gesehen, welche nie geparsed werden.

			Beispiel eines Prepared Statement in PHP mit PHP Data Objects:
			[[Datei:Prepared Statement Beispiel.png\|mini]]

St170932 am 11. Februar 2020 um 16:06 Uhr

2020-02-11T16:06:26Z

← Nächstältere Version		Version vom 11. Februar 2020, 16:06 Uhr
Zeile 1:		Zeile 1:
	Ein Prepared Statement ist eine sogenannte vorbereitete Anweisung für ein Datenbanksystem. Im Gegensatz zu gewöhnlichen Statements enthält es noch keine Parameterwerte. Stattdessen werden dem Datenbanksystem Platzhalter übergeben.		Ein Prepared Statement ist eine sogenannte vorbereitete Anweisung für ein Datenbanksystem. Im Gegensatz zu gewöhnlichen Statements enthält es noch keine Parameterwerte. Stattdessen werden dem Datenbanksystem Platzhalter übergeben.

	~~Mittels~~ Prepared Statements ~~können~~ SQL~~-Injections effektiv verhindert werden~~, da das Datenbanksystem die Gültigkeit von Parametern prüft, bevor diese verarbeitet werden.		Verwendet eine Anwendung ausschließlich Prepared Statements, ist davon auszugehen, dass keine SQL Injection möglich ist, da das Datenbanksystem die Gültigkeit von Parametern prüft, bevor diese verarbeitet werden. Diese Maßnahme gegen SQL Injection ist aber nicht auf alle DBMS anwendbar.

	~~Soll ein Statement~~ mit ~~unterschiedlichen~~ Parametern ~~mehrere Male (z~~. B. ~~innerhalb einer Schleife) auf dem Datenbanksystem ausgeführt werden~~, ~~können Prepared Statements einen Geschwindigkeitsvorteil bringen~~, ~~da das Statement schon vorübersetzt im Datenbanksystem vorliegt~~ und ~~nur noch mit den neuen Parametern ausgeführt~~ werden ~~muss~~.		Sie besitzen mehrere Vorteile gegenüber direkt ausgeführten SQL Statements. Die Anfrage muss nur einmal geparsed werden, welche dann mehrmals mit anderen Parametern ausgeführt werden kann. Bei der Vorbereitung analysiert und optimiert die Datenbank die Anfrage. Für komplexe und wiederholende Anfragen spart das Ressourcen, Bandbreite und Zeit, weil nur die Parameter und nicht die gesamte Query gesendet wird.

			Die Nutzereingaben, bzw. die Paramter müssen nicht maskiert werden. Lediglich die SQL Query wird kompiliert und die Parameter als Variable gesehen, welche nie geparsed werden.

St170932: Die Seite wurde neu angelegt: „Ein Prepared Statement ist eine sogenannte vorbereitete Anweisung für ein Datenbanksystem. Im Gegensatz zu gewöhnlichen Statements enthält es noch keine Par…“

2020-02-11T15:47:54Z

Die Seite wurde neu angelegt: „Ein Prepared Statement ist eine sogenannte vorbereitete Anweisung für ein Datenbanksystem. Im Gegensatz zu gewöhnlichen Statements enthält es noch keine Par…“

Neue Seite

Ein Prepared Statement ist eine sogenannte vorbereitete Anweisung für ein Datenbanksystem. Im Gegensatz zu gewöhnlichen Statements enthält es noch keine Parameterwerte. Stattdessen werden dem Datenbanksystem Platzhalter übergeben.

Mittels Prepared Statements können SQL-Injections effektiv verhindert werden, da das Datenbanksystem die Gültigkeit von Parametern prüft, bevor diese verarbeitet werden.

Soll ein Statement mit unterschiedlichen Parametern mehrere Male (z. B. innerhalb einer Schleife) auf dem Datenbanksystem ausgeführt werden, können Prepared Statements einen Geschwindigkeitsvorteil bringen, da das Statement schon vorübersetzt im Datenbanksystem vorliegt und nur noch mit den neuen Parametern ausgeführt werden muss.