Возможна ли вставка через PDO ассоциативного массива в БД MySql?

Question

[Анна С.]

Добрый день!
Имеется ассоциативный массив для вставки в БД.

spoiler

Array
(
[0] => Array
(
[order_id] => 45
[order_date] => 2019-12-15 13:54:51
[user_id] => 0
[product_id] => 371
[multiple_id] => 371-pd404-pp47
[product_info] => {"name":"\u0422\u0440\u0443\u0441\u0435\u043b\u044f \u0432 \u043a\u0430\u0440\u0442\u043e\u0448\u043a\u0435","alias":"truselya-v-kartoshke","image":"dafi-130_1570704988.jpg","prDepArr":{"id":404,"p_name":"\u0420\u0430\u0437\u043c\u0435\u0440","pv_name":"37","ch_name":"\u0426\u0432\u0435\u0442","ch_val":"\u0431\u0435\u043b\u044b\u0439","ch_value":"#FFF"}}
[qty] => 2
[price] => 15
[note] => принято
)

[1] => Array
(
[order_id] => 45
[order_date] => 2019-12-15 13:54:51
[user_id] => 0
[product_id] => 366
[multiple_id] => 366-pd400
[product_info] => {"name":"\u041a\u043e\u0441\u0442\u044e\u043c \u043e\u0442 \u041f\u0440\u0430\u0433\u0430\u0444","alias":"kostyum-ot-pragaf","image":"dafi-12_1570018672.jpg","prDepArr":{"id":400,"p_name":"\u0420\u0430\u0437\u043c\u0435\u0440","pv_name":"L","ch_name":"\u0426\u0432\u0435\u0442","ch_val":"\u0431\u0435\u043b\u044b\u0439","ch_value":"#FFF"}}
[qty] => 1
[price] => 125
[note] => принято
)
)

Возможно ли его вставить в одном PDO запросе к БД или нет?
Для одномерного массива использую конструкцию:

spoiler

$sql = 'INSERT INTO '. $table. '(`';
$sql .= implode("`, `", array_keys($newData)).'`)';
$sql .= ' VALUES (:';
$sql .= implode(", :", array_keys($newData)).')';
return $this->pdo->execute($sql, $newData);

Но как преобразовать запрос и возможно ли это сделать для многомерного, сообразить не могу.

Comments

[Евгений Ромашкан]

JSON-поля ( https://dev.mysql.com/doc/refman/8.0/en/json.html )

[FanatPHP]

Евгений Ромашкан, не надо тупить

[Ice]

простой вариант
использовать begintransaction
прогнать через foreach
на каждой итерации выполнять ваш код

Answer 1

[FanatPHP]

Непонятно, какая проблема выполнить запрос в цикле.

$sql = 'INSERT INTO '. $table. '(`';
$sql .= implode("`, `", array_keys($newData[0])).'`)';
$sql .= ' VALUES (:';
$sql .= implode(", :", array_keys($newData[0])).')';
foreach ($newData as $row)
    $this->pdo->execute($sql, $row);
}

Другое дело что в этом коде инъекция на инъекции и инъекцией погоняет.

Comments

[Анна С.]

Ткните, плизз, что почитать, тк я считала, что распределенные запросы и PDO как раз нужны, чтоб избегать sql-инъекций...

[FanatPHP]

Чтобы избежать инъекций, в запросе не должно быть внешних данных.
Идея в том, чтобы плейсхолдеры (:name) писались программистом, руками, в коде программы.
А если они попадают в запрос извне, то это та же самая инъекция. Ну просто она будет не в данных, а в именах плейсхолдеров, а так всё то же самое.

Если составлять запрос динамически, то имена полей все равно должны быть заранее прописаны в скрипте. Например - в свойствах класса, если это класс.

[Анна С.]

FanatPHP, спасибо, что ответили)). Протупила, не сообразила очевидный вариант решения.
Про безопасность - все понятно, я в контроллере изначально валидирую входящие данные на ожидаемое содержимое и их тип, обращаясь к конкретной модели. В общей же модели же стараюсь делать унифицированные методы для работы с БД, чтоб можно было подставлять любые данные из любого класса.

[FanatPHP]

Контроллер - не единственная точка входа в приложение.
И к SQL инъекциям отношения не имеет. Разнесение валидации и исполнения запроса - это прямая дорога к инъекции.
Составлять запрос должен метод дата маппера (который неправильно называют моделью) и следить за безопасностью должен тоже он. При этом никто не мешает использовать унифицированные методы в мапперах. Вот пример такого класса.

При этом полностью универсальный метод, в который можно подставлять любые данные из любого класса - это головотяптсво и лень, которые доведут до больших неприятностей.

[Анна С.]

FanatPHP, спасибо! Посмотрела код, высший пилотаж, конечно, до него мне далеко, хотя и понимаю, что написано и для чего.
Мой код метода для универсальной вставки данных в БД не настолько плох, как мне кажется, в почти полном виде он выглядит так:

spoiler

insertInTable($table = '', $data){
$table = $table ?: $this->table;
$columns = 'DESCRIBE '.$table;
$columnsArr = $this->pdo->query($columns, []);
$newData = [];
foreach($columnsArr as $arr){
foreach($data as $k=>$v){
foreach($v as $j=>$h){
if($arr['Field'] == $j){
$newData[$k][$j] = $h;
}
}
}
}

$sql = 'INSERT INTO '. $table. '(`';
$sql .= implode("`, `", array_keys($newData[0])).'`)';
$sql .= ' VALUES (:';
$sql .= implode(", :", array_keys($newData[0])).')';
foreach ($newData as $row)
$this->pdo->execute($sql, $row);
}

Это налагает ряд ограничений на именование ключей массива, которые я передаю в $data, я должна их дублировать со столбцами в таблице БД, но на мой взгляд, полностью исключает возможность видоизменить запрос, и это небольшая плата за безопасность. С учетом начальной валидации данных из POST мне кажется, неплохо.

[FanatPHP]

Ну я не вижу чтобы тот "высший класс" чем-то принципиально отличался вашго кода. Ну разве только если тем класс а здесь функция.

С получением списка полей из БД конечно безопаснее.