8

Fui fazer uma consulta no banco, com query() usando o mysqli e num_rows para retornar o numero de linhas, veja o código:

$consulta = $mysqli -> query("SELECT * FROM tabela WHERE Pedido = '$pedido' AND Email = '$email' ");
$linhas = $consulta->num_rows;
echo $linhas;

Ai eu decidi usar o prepared statements para experimentar, e o código ficou maior, assim:

$consulta = $mysqli -> prepare("SELECT * FROM tabela WHERE Pedido = ? AND Email = ?");
$consulta -> bind_param("ss",$pedido,$email);
$consulta -> execute();
$res = $consulta->get_result(); <----------
$linhas = $res->num_rows;

Veja a linha apontada no código acima, me ajudem a entender o que faz esta função?

Porquê quando uso query, não preciso usar get_result()?

Então prepared statement é como, preparar a query(prepare()), sugerir os parâmetros com bind_params(), executar() e ainda para obter os resultados usando get_result()?

1
  • 1
    Esse pode ser um dos problemas causados sql injection: pt.stackoverflow.com/questions/3864/…. Outro já é mais 'estético' numa instrução sql mais complexa sua string vira um mar de aspas, virgulas e concatenações.
    – rray
    Commented 19/01/2015 às 14:38

2 Respostas 2

11
+50

Em geral ele é mais seguro. Não que não dê para dar segurança com a query normal, mas muitos não sabem como fazer. É bem verdade que boa parte das pessoas que não sabem como fazer também não se preocupam com a segurança, só se preocupam se o código aparenta estar funcionando. Usando esta forma você evita SQL Injection.

Além disto é possível ter algum ganho de performance porque ele pode ser compilado e cacheado. Mas dependendo do padrão de uso não será diferente de uma consulta não preparada. Em outros casos este possível ganho nem será aproveitado. Lembre-se que a preparação dura apenas durante a sessão, que costuma ser curta.

Parece que os dados também são trafegados de forma ligeiramente mais eficiente, mas não tenho comprovação disto.

Há quem questione algumas dessas vantagens. Até mesmo a segurança poderia eventualmente ser comprometida um dia sem você ter qualquer controle sobre isto. Ainda assim há uma recomendação geral de uso de consultas preparadas.

Existem diversas formas de usar os resultados.

Se acha que o código ficou grande, crie uma função que encapsule a complexidade. Eu percebo em programadores PHP a percepção que funções não devem ser usadas. É raro ver as pessoas criando funções utilitárias para simplificar código. Vejo o tempo todo as pessoas copiando e colando trechos de código que fazem a mesma coisa.

Foi escolha da API não gerar o objeto com resultados diretamente, possivelmente para dar mais flexibilidade. Em geral códigos mais flexíveis costumam ser um pouco maiores. Podemos dizer que no caso a query "pura" o get_result() é executado dentro da própria query() e já lhe retorna o que você deseja. Por isso que eu digo que você pode criar uma função que lide com tudo isso e transformar as 4 linhas em apenas 1.

Coloquei no GitHub para referência futura.

4
  • Bom, espera ae.. Voce diz: "Lembre-se que a preparação dura apenas durante a sessão que costuma ser curta." Isso quer dizer que, que o cache da consulta dura apenas na sessão do usuário? se ele cair fora, entrar denovo no outro dia, não vai existir cache da mesma query, logo o servidor vai ter que preparar e tudo mais(usar mais recursos) para armazenar em cache posteriormente denovo e reaproveitar até a sessão finalizar?
    – Ale
    Commented 20/01/2015 às 1:26
  • 1
    Cache por definição tem tempo de duração indeterminado. Cache não é algo que você cria para ter garantia de reaproveitamento. Quem manipula o cache (o MySQL neste caso) cuida dele do jeito que quiser e ele não lhe dá garantias de nada. Ele faz o que ele acha melhor e normalmente sabe o que é melhor. Se ele não mantém algo no cache é porque não deveria manter. Claro que nem sempre isto é perfeito mas é melhor do que a maioria das pessoas fariam. Não se preocupe tanto com a performance neste caso. A diferença será mínima e quase sempre imperceptível.
    – Maniero
    Commented 20/01/2015 às 1:34
  • 1
    @AlexandreC.Caus "Para queries complexas, este processo pode consumir tempo suficiente para tornar a aplicação visivelmente mais lenta se houver a necessidade de repetir a mesma query muitas vezes com diferentes parâmetros". Eu já vi várias vezes rotinas aumentando visivelmente a performance por passar a utilizar parâmetros. Não sei o quanto o MySql é capaz de se beneficiar disso - Oracle e SQL Server fazem um excelente trabalho (SQL Server inclusive reaproveita o plano de execução entre sessões - a query que um usuário executa pode ficar mais rápida se já foi executada por outro usuário).
    – Caffé
    Commented 20/01/2015 às 12:31
  • 1
    @AlexandreC.Caus Esta resposta apresenta um case de diferença entre usar ou não usar parâmetros (é outro banco de dados mas ainda válido no contexto da pergunta): pt.stackoverflow.com/a/47889/14584
    – Caffé
    Commented 22/01/2015 às 15:54
9

A grande vantagem dos prepared statements é a seguinte:

  • A query precisa ser analizada (parsed) ou preparada apenas uma vez, mas pode ser executada múltiplas vezes com os mesmos ou diferentes parâmetros. Quando a query é preparada, o banco de dados vai analizar, compilar e otimizar o seu plano para a execução da query. Para queries complexas, este processo pode consumir tempo suficiente para tornar a aplicação visivelmente mais lenta se houver a necessidade de repetir a mesma query muitas vezes com diferentes parâmetros. Usando um comando pre-preparado (prepared statement) a aplicação evita a repetição do ciclo de análise/compilação/otimização. Isso significa que comandos pré-preparados usam menos recursos e portanto executam mais rápido.

  • Os parâmetros de comandos pré-preparados (prepared statements) não precisam estar entre apóstrofos (ou "aspas simples" ou "aspas"), o driver vai tratar isso automaticamente. Se uma aplicação usa exclusivamente comandos pré-preparados, o desenvolvedor pode ter certeza de que não ocorrerá SQL Injection (entretanto, se outras partes da query estiver sendo construída através de entradas não tratadas, ainda estará sujeita a SQL Injection).

Fonte: http://php.net/manual/en/pdo.prepared-statements.php

Na prática, o que muda é exatamente o que você postou nos exemplos acima. Quando você roda a query com query(), você pode estar extraindo o resultado usando menos linhas de código mas não se aproveita um recurso do MySQL que é exatamente o que diz a citação.

Já usando a função prepare(), você só "amarra" (bind()) os argumentos e executa uma query que, provavelmente, já rodou um milhão de vezes no seu servidor. O MySQL sabe qual é o melhor plano de execução para a consulta e a reaproveita toda vez que a query for todada novamente, agilizando sua aplicação.

5
  • Então com prepared statements, eu consigo usar menos recursos do servidor para fazer uma consulta a partir da segunda vez? Se eu tenho uma pesquisa no site, e lá faço uso de prepared statements, nesse caso, é mais notável o aumento de performance, ou seja, consultas mais rápidas para os usuários que pesquisarem, ou a aplicação de prepared statements é para casos mais específicos?
    – Ale
    Commented 19/01/2015 às 14:43
  • 3
    Esse é o principal ponto dos prepared statements. O uso de placeholders (o ?) faz com que toda query seja igual, alterando apenas os parâmetros. Dê uma olhada nesse artigo: vividcortex.com/blog/2014/11/19/… Commented 19/01/2015 às 14:47
  • Só complementando o que perguntei ali em cima.. Quis dizer se, um usuário entra no meu site, realiza uma consulta, e em seguida, entra outro usuário.. O servidor vai precisar repetir todos aqueles processos para executar uma query, ou ele já vai pelo caminho menor, ou seja.. O servidor reconhece a Query, ou o cliente quando pesquisa pela primeira vez o servidor sempre vai precisar realizar todos os processos de consulta, que só a partir da segunda consulta daquele Cliente que o servidor vai pelo caminho menor..? Desculpe se está confuso..
    – Ale
    Commented 19/01/2015 às 14:50
  • 2
    Na primeira vez que a query é executada, o servidor monta o plano de execução e o deixa em cache. Nas consultas subsequentes, o servidor reconhece a query, independente se é o mesmo usuário ou outro usuário. Acho que era isso o que você estava querendo saber, não era? Commented 19/01/2015 às 14:53
  • Perfeito, valeu! vou ler mais sobre o que você recomendou para melhorar o conhecimento!
    – Ale
    Commented 19/01/2015 às 14:54

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .