PDOで行を更新するにはどうすればよいですか？

Question

このコードをPDOで動作するコードに変換するにはどうすればよいですか？

if($_POST['name']=='home_title'){ 
$id=$_POST['pk']; 
$home_title=$_POST['value']; 
$result=mysql_query("SELECT COUNT(*) as count FROM sw_configuration WHERE id=$id") or die(mysql_error()); 
$count= mysql_fetch_row($result); 
if($count[0]==0){ 
    mysql_query("INSERT INTO sw_configuration(id,home_title) VALUES('".$id."','".$home_title."')") or die(mysql_error()); 
}else{ 
    mysql_query("UPDATE sw_configuration SET home_title='".$home_title."' WHERE id=$id") or die(mysql_error()); 
    } 
} 

Answer 1

は単純にPDOを使用すると、SQLインジェクション攻撃からあなたのスクリプトをセキュアにするために十分ではありません。 すべてのユーザ提供変数のが適切にquoted以上であることを確認する必要がありますが、推奨パラメータであるバインドされたパラメータを持つprepared statementを使用してください。これを行わないと、PDOと通常のmysql_*機能の間にセキュリティ上の違いはありません。ここではあなたがそれを行うことができる方法の例です：

$stmt = $dbh->prepare("INSERT INTO sw_configuration(id,home_title) 
    VALUES(:id,:home_title)"); 
$stmt->bindValue(':id', $id); 
$stmt->bindValue(':home_title', $home_title); 
$stmt->execute(); 

それとも、値を選択する必要がある場合：

$stmt = $dbh->prepare("SELECT COUNT(*) 
    FROM sw_configuration WHERE id = :id"); 
$stmt->bindValue(':id', $id); 
$stmt->execute(); 

$count = $stmt->fetchColumn();