从 mysqli 更改为 pdo

我对这段代码没有问题，它出奇地工作正常，但我真的不明白它是如何工作的，甚至不明白它是否正确，所以：

我对 mysqli 进行 ajax post 或 get 调用的查询如下：

$con = mysqli_connect('localhost','root','','db') or die(header('Location: ./404.php'));
$add = "INSERT INTO table (id, id2, id3) VALUES('','$fid','')";
            if(mysqli_query($con, $add)){
                echo "added";
                }
$remove = "DELETE FROM table WHERE id2='$fid'";
            if(mysqli_query($con, $remove)){
                echo "removed";
            }
$getInfo = "SELECT * FROM table";
            $result = $con->query($getInfo);
            if($result->num_rows > 0) {
                while($row = $result->fetch_assoc()){
                   //do something
                } 
            }

And for $_POST or $_GET values I used mysqli_real_escape_string

这里转换成PDO：

try{
$con = new PDO('mysql:host=localhost;dbname=db;charset=utf8mb4', 'root', '', array(PDO::ATTR_EMULATE_PREPARES => false, PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION));

$get = $con->query("SELECT * FROM table");
    foreach($get->fetchAll(PDO::FETCH_ASSOC) as $row){
                    $data['0'] = $row['name'];
                    $data['1'] = $row['email'];
                    return $data;
                }

$add = $con->prepare("INSERT INTO table (id, id2, id3) VALUES(:f1,:f2,:f3)");
            $add->execute(array(':f1' => '', ':f2' => $fid, ':f3' => ''));
            echo "added";

$remove = $con->prepare("DELETE FROM table WHERE id2=:f1");
            $remove->bindValue(':f1', $fid, PDO::PARAM_STR);
            $remove->execute();
                echo "removed";

}catch(PDOException $ex){
    echo "error";
}

现在这可以工作，但我真的不知道它是否用 pdo 正确编写，我不需要使用 mysqli_real_escape_string 之类的东西与 mysqli 或类似的东西。 我在网上能找到的就是它现在是如何编写的，代码的哪一部分在做什么，例如当我在 mysqli 中使用插入、更新或删除时我使用

if(mysqli_query($con, $sql)){echo "success";}else echo 'fail';

我怎样才能用 pdo 做到这一点？ 而且对于使用 try 和 catch 我不知道我是否需要在每个查询中使用它或者像我上面添加的那样？

只是再说一遍，我是 pdo 的新手，我不太理解它，上面的代码可以工作，但我不知道它是否以正确的方式编写？

首先，让我祝贺您选择 PDO。在我认识的所有经验丰富的 PHP 开发人员中，几乎一致认为他们更喜欢 PDO 而不是 mysqli。

我强烈推荐你通读本指南使用 PDO。它应该回答您所有的问题，甚至回答您将来可能遇到的一些问题。

对于您的具体问题：

不，只要您使用带有占位符的准备好的语句，您就不需要再转义任何内容。转义的存在正是因为人们将变量插入到 SQL 语句中，这可能会混淆包含字符串所需的引用。

有了prepared statements，这个问题就不再存在，这也意味着不再有SQL注入的危险。 SQL 注入利用字符串连接将原始 SQL 语句转换为完全不同的语句，同样使用引号，这就是为什么从用户输入接受的非转义字符串是 SQL 注入的攻击向量。这两个问题都可以使用参数和准备好的语句来解决。

至于 PDO 的错误处理，您想利用PDO::ERRMODE_EXCEPTION所讨论的在此处的手册中.

不幸的是，PDO 的默认值是PDO::ERRMODE_SILENT它本质上会忽略数据库错误，只设置您必须自己检查的 PDO 对象变量。

话虽如此，您可以通过在创建 PDO 连接对象时或之后添加错误模式来解决此问题。示例位于我链接的 PDO 错误模式页面上。

对于 Try-Catch 块，一般来说，您不想专门捕获异常，除非您有一些功能代码来解决错误。仅仅为了报告错误消息而包装每个 sql 调用是不好的，无论是从 DRY 的角度来看还是从反模式的角度来看。使用正确的错误模式，SQL 错误将抛出异常，您可以在错误处理程序中处理这些异常，并且通常是您不应该消耗并继续处理的异常。

您的错误处理程序应该（在生产中）将错误记录到磁盘/向系统管理员或站点所有者发送电子邮件，并显示专业的非特定错误消息，通知用户问题以及所有异常都应该发生的情况。