预处理语句通过分离SQL结构与数据防止SQL注入，并提升重复执行语句的性能，PHP中主要用PDO或mysqli实现。
预处理语句在PHP中主要用于提高数据库操作的安全性，防止SQL注入攻击，并能提升性能，特别是对于重复执行的SQL语句。简单来说，就是先定义好SQL语句的结构，然后填充数据，数据库会预先编译这个结构，之后每次执行只需要传入不同的数据即可。
解决方案
PHP中使用预处理语句主要通过PDO（PHP Data Objects）扩展实现。以下是一个基本的使用流程：
-
连接数据库： 首先，你需要创建一个PDO对象来连接数据库。
立即学习“PHP免费学习笔记（深入）”；
setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION); // 错误处理 } catch (PDOException $e) { echo 'Connection failed: ' . $e->getMessage(); } ?>这里
$dsn
包含了数据库类型、主机地址和数据库名。$user
和$pass
是数据库用户名和密码。PDO::ATTR_ERRMODE
用于设置错误处理模式，PDO::ERRMODE_EXCEPTION
表示抛出异常。 -
准备SQL语句： 使用
prepare()
方法准备SQL语句，其中的变量用占位符代替。$sql = "INSERT INTO users (username, email) VALUES (:username, :email)"; $stmt = $pdo->prepare($sql);
这里的
:username
和:email
就是占位符，它们会在后续步骤中被实际的值替换。 -
绑定参数： 使用
bindParam()
或bindValue()
方法将变量绑定到占位符。$username = 'john_doe'; $email = 'john.doe@example.com'; $stmt->bindParam(':username', $username); $stmt->bindParam(':email', $email);或者使用
bindValue()
：$stmt->bindValue(':username', $username); $stmt->bindValue(':email', $email);bindParam()
和bindValue()
的区别在于，bindParam()
绑定的是变量的引用，而bindValue()
绑定的是变量的值。这意味着，如果在使用bindParam()
后，变量的值发生了改变，那么执行SQL语句时会使用改变后的值。而bindValue()
则始终使用绑定时的值。 -
执行SQL语句： 使用
execute()
方法执行SQL语句。$stmt->execute();
如果需要插入多条数据，只需要改变变量的值，然后再次执行
execute()
即可。 -
查询数据： 如果是查询语句，可以使用
fetch()
、fetchAll()
等方法获取结果。$sql = "SELECT * FROM users WHERE username = :username"; $stmt = $pdo->prepare($sql); $stmt->bindValue(':username', 'john_doe'); $stmt->execute(); $result = $stmt->fetch(PDO::FETCH_ASSOC); // 获取一行数据，以关联数组形式返回 if ($result) { echo "Username: " . $result['username'] . ", Email: " . $result['email']; } else { echo "User not found."; }
预处理语句如何防止SQL注入？
预处理语句的核心在于，SQL语句的结构和数据是分开处理的。数据库在预处理阶段会分析SQL语句的结构，确定哪些部分是SQL代码，哪些部分是数据。然后，在执行阶段，会将数据作为参数传递给SQL语句，而不是直接拼接到SQL语句中。
这样，即使数据中包含SQL关键字，也不会被当做SQL代码来执行，而是会被当做普通的数据来处理，从而防止SQL注入。例如，如果
$username的值是
"john_doe'; DROP TABLE users;"，在使用预处理语句时，这个值会被当做一个普通的字符串来处理，而不会执行
DROP TABLE users这条SQL语句。
副标题1
预处理语句相比直接拼接SQL语句，性能提升体现在哪些方面？
预处理语句的性能优势主要体现在以下几个方面：
- 减少SQL解析次数： 对于相同的SQL语句，如果只是参数不同，预处理语句只需要解析一次。数据库会缓存预处理后的SQL语句，后续执行时直接使用缓存，避免重复解析。
- 减少网络传输量： 只需要传输参数，不需要每次都传输完整的SQL语句，减少了网络传输量。
- 数据库优化： 数据库可以针对预处理语句进行更深入的优化，例如选择更优的执行计划。
但需要注意的是，性能提升只有在重复执行相同SQL语句时才比较明显。如果SQL语句只执行一次，预处理语句的性能优势可能并不明显，甚至可能略低于直接拼接SQL语句。
副标题2
如何处理预处理语句中的IN语句？
处理IN语句稍微复杂一点，因为IN语句中的参数数量是不确定的。一种常见的做法是动态生成占位符。
prepare($sql);
foreach ($ids as $key => $id) {
$stmt->bindValue($key + 1, $id, PDO::PARAM_INT); // 注意索引从1开始
}
$stmt->execute();
$results = $stmt->fetchAll(PDO::FETCH_ASSOC);
// 打印结果
print_r($results);
?>这个例子中，我们首先根据
$ids数组的长度动态生成占位符字符串，然后使用
bindValue()方法将每个ID绑定到对应的占位符。注意，PDO的占位符索引是从1开始的。另外，
PDO::PARAM_INT指定了参数的类型为整数，这可以进一步提高安全性。
另一种方法是使用命名占位符，代码如下：
prepare($sql);
foreach ($ids as $key => $id) {
$stmt->bindValue(':id' . $key, $id, PDO::PARAM_INT);
}
$stmt->execute();
$results = $stmt->fetchAll(PDO::FETCH_ASSOC);
// 打印结果
print_r($results);
?>这个方法使用命名占位符，使得代码更易读，也更容易维护。
副标题3
除了PDO，还有其他方式在PHP中使用预处理语句吗？
虽然PDO是PHP中使用预处理语句最常见和推荐的方式，但还有其他一些方式，例如mysqli扩展。mysqli扩展也提供了预处理语句的支持，而且mysqli是MySQL官方推荐的扩展，对于MySQL数据库的支持更好。
以下是使用mysqli扩展的预处理语句的示例：
connect_errno) {
echo "Failed to connect to MySQL: " . $mysqli->connect_error;
exit();
}
// 准备SQL语句
$sql = "INSERT INTO users (username, email) VALUES (?, ?)";
$stmt = $mysqli->prepare($sql);
// 绑定参数
$stmt->bind_param("ss", $username, $email); // "ss" 表示两个参数都是字符串类型
$username = "jane_doe";
$email = "jane.doe@example.com";
// 执行SQL语句
$stmt->execute();
// 关闭语句和连接
$stmt->close();
$mysqli->close();
?>在这个例子中，
bind_param()方法用于绑定参数，第一个参数是类型字符串，用于指定参数的类型。
"s"表示字符串，
"i"表示整数，
"d"表示浮点数，
"b"表示BLOB。
mysqli扩展的预处理语句也提供了防止SQL注入的功能，并且在某些情况下，性能可能比PDO更好。但是，PDO的通用性更好，可以用于连接多种类型的数据库，而mysqli只能用于连接MySQL数据库。选择哪个扩展取决于你的具体需求。
