预处理语句是一种在执行 SQL 查询之前，将 SQL 查询的结构和数据分开的方式。这种方法可以防止 SQL 注入攻击，并提高查询的效率。在 PHP 中，你可以使用 MySQLi 或 PDO 来执行预处理语句。以下是在 PHP 中使用 MySQLi 和 PDO 预处理语句的示例代码：
使用 MySQLi 预处理语句：
<?php
// MySQL 数据库连接参数
$servername = "localhost"; // MySQL 服务器地址
$username = "your_username"; // MySQL 用户名
$password = "your_password"; // MySQL 密码
$dbname = "your_database"; // 要连接的数据库名
// 创建连接
$conn = new mysqli($servername, $username, $password, $dbname);
// 检查连接是否成功
if ($conn->connect_error) {
die("Connection failed: " . $conn->connect_error);
}
// 准备预处理语句
$sql = "INSERT INTO users (firstname, lastname, email) VALUES (?, ?, ?)";
$stmt = $conn->prepare($sql);
// 绑定参数并执行预处理语句
$firstname = "John";
$lastname = "Doe";
$email = "john@example.com";
$stmt->bind_param("sss", $firstname, $lastname, $email);
$stmt->execute();
echo "New record created successfully";
// 关闭连接
$stmt->close();
$conn->close();
?>
使用 PDO 预处理语句：
<?php
// MySQL 数据库连接参数
$servername = "localhost"; // MySQL 服务器地址
$username = "your_username"; // MySQL 用户名
$password = "your_password"; // MySQL 密码
$dbname = "your_database"; // 要连接的数据库名
try {
// 创建 PDO 实例
$conn = new PDO("mysql:host=$servername;dbname=$dbname", $username, $password);
// 设置 PDO 错误模式为异常
$conn->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);
// 准备预处理语句
$stmt = $conn->prepare("INSERT INTO users (firstname, lastname, email) VALUES (:firstname, :lastname, :email)");
// 绑定参数并执行预处理语句
$firstname = "John";
$lastname = "Doe";
$email = "john@example.com";
$stmt->bindParam(':firstname', $firstname);
$stmt->bindParam(':lastname', $lastname);
$stmt->bindParam(':email', $email);
$stmt->execute();
echo "New record created successfully";
} catch(PDOException $e) {
echo "Error: " . $e->getMessage();
}
// 关闭连接
$conn = null;
?>
在这两个示例中，我们首先准备了预处理语句，然后绑定参数并执行预处理语句。 MySQLi 示例使用 bind_param() 方法绑定参数，而 PDO 示例使用 bindParam() 方法或直接在 execute() 方法中传递参数。执行以上代码后，如果一切顺利，会输出 “New record created successfully”。
预处理语句及绑定参数
预处理语句是在执行 SQL 查询之前，先将查询语句和参数分开的方法。这样做的好处包括：
- 防止 SQL 注入攻击：通过将 SQL 查询语句与参数分开，数据库可以更好地识别参数，从而有效地防止 SQL 注入攻击。
- 提高性能：数据库可以预编译查询，这意味着当相同的查询被执行多次时，数据库可以重复使用已编译的查询计划，从而提高性能。
在 PHP 中，你可以使用 MySQLi 或 PDO 来执行预处理语句。以下是预处理语句及参数绑定的基本用法：
使用 MySQLi 预处理语句及绑定参数：
<?php
// MySQL 数据库连接参数
$servername = "localhost"; // MySQL 服务器地址
$username = "your_username"; // MySQL 用户名
$password = "your_password"; // MySQL 密码
$dbname = "your_database"; // 要连接的数据库名
// 创建连接
$conn = new mysqli($servername, $username, $password, $dbname);
// 检查连接是否成功
if ($conn->connect_error) {
die("Connection failed: " . $conn->connect_error);
}
// 准备预处理语句
$sql = "INSERT INTO users (firstname, lastname, email) VALUES (?, ?, ?)";
$stmt = $conn->prepare($sql);
// 绑定参数并执行预处理语句
$firstname = "John";
$lastname = "Doe";
$email = "john@example.com";
$stmt->bind_param("sss", $firstname, $lastname, $email);
$stmt->execute();
echo "New record created successfully";
// 关闭连接
$stmt->close();
$conn->close();
?>
使用 PDO 预处理语句及绑定参数：
<?php
// MySQL 数据库连接参数
$servername = "localhost"; // MySQL 服务器地址
$username = "your_username"; // MySQL 用户名
$password = "your_password"; // MySQL 密码
$dbname = "your_database"; // 要连接的数据库名
try {
// 创建 PDO 实例
$conn = new PDO("mysql:host=$servername;dbname=$dbname", $username, $password);
// 设置 PDO 错误模式为异常
$conn->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);
// 准备预处理语句
$stmt = $conn->prepare("INSERT INTO users (firstname, lastname, email) VALUES (:firstname, :lastname, :email)");
// 绑定参数并执行预处理语句
$firstname = "John";
$lastname = "Doe";
$email = "john@example.com";
$stmt->bindParam(':firstname', $firstname);
$stmt->bindParam(':lastname', $lastname);
$stmt->bindParam(':email', $email);
$stmt->execute();
echo "New record created successfully";
} catch(PDOException $e) {
echo "Error: " . $e->getMessage();
}
// 关闭连接
$conn = null;
?>
在这两个示例中，我们首先准备了预处理语句，然后使用 bind_param() 方法（MySQLi）或 bindParam() 方法（PDO）绑定参数，并执行预处理语句。这样做能够更安全地执行 SQL 查询，并提高性能。
MySQLi 预处理语句
在 MySQLi 中，使用预处理语句可以提高数据库操作的安全性和效率。预处理语句将 SQL 查询和参数值分开，防止 SQL 注入攻击，并允许多次执行相同的查询，从而提高性能。以下是 MySQLi 中预处理语句的基本用法：
- 准备预处理语句：使用
prepare()方法准备预处理语句。 - 绑定参数：将参数绑定到预处理语句中的占位符。
- 执行预处理语句：使用
execute()方法执行预处理语句。 - 获取结果：如果预处理语句是一个查询，可以使用
bind_result()和fetch()方法获取结果。
下面是一个示例，演示如何在 MySQLi 中使用预处理语句和绑定参数：
<?php
// MySQL 数据库连接参数
$servername = "localhost"; // MySQL 服务器地址
$username = "your_username"; // MySQL 用户名
$password = "your_password"; // MySQL 密码
$dbname = "your_database"; // 要连接的数据库名
// 创建连接
$conn = new mysqli($servername, $username, $password, $dbname);
// 检查连接是否成功
if ($conn->connect_error) {
die("Connection failed: " . $conn->connect_error);
}
// 准备预处理语句
$stmt = $conn->prepare("INSERT INTO users (firstname, lastname, email) VALUES (?, ?, ?)");
// 绑定参数
$firstname = "John";
$lastname = "Doe";
$email = "john@example.com";
$stmt->bind_param("sss", $firstname, $lastname, $email);
// 执行预处理语句
$stmt->execute();
echo "New record created successfully";
// 关闭连接
$stmt->close();
$conn->close();
?>
在上面的示例中，我们准备了一个插入语句的预处理语句，并绑定了三个参数。使用 "sss" 表示三个参数都是字符串类型。然后执行了预处理语句，插入了一条新记录。最后关闭了预处理语句和数据库连接。
这样做的好处是，MySQLi 将自动处理参数值的转义和引号等问题，从而降低了 SQL 注入攻击的风险。
PDO 中的预处理语句
在 PDO 中，预处理语句的使用方式相对简单，并且提供了更强大的功能。使用预处理语句可以有效防止 SQL 注入攻击，并且可以更容易地绑定不同类型的参数。以下是在 PDO 中使用预处理语句的基本用法：
- 准备预处理语句：使用
prepare()方法准备预处理语句。 - 绑定参数：使用占位符
?或命名占位符:name将参数绑定到预处理语句中。 - 执行预处理语句：使用
execute()方法执行预处理语句。 - 获取结果：如果预处理语句是一个查询，可以使用
fetch()或fetchAll()方法获取结果。
下面是一个示例，演示如何在 PDO 中使用预处理语句和绑定参数：
<?php
// MySQL 数据库连接参数
$servername = "localhost"; // MySQL 服务器地址
$username = "your_username"; // MySQL 用户名
$password = "your_password"; // MySQL 密码
$dbname = "your_database"; // 要连接的数据库名
try {
// 创建 PDO 实例
$conn = new PDO("mysql:host=$servername;dbname=$dbname", $username, $password);
// 设置 PDO 错误模式为异常
$conn->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);
// 准备预处理语句
$stmt = $conn->prepare("INSERT INTO users (firstname, lastname, email) VALUES (?, ?, ?)");
// 绑定参数
$firstname = "John";
$lastname = "Doe";
$email = "john@example.com";
$stmt->bindParam(1, $firstname);
$stmt->bindParam(2, $lastname);
$stmt->bindParam(3, $email);
// 执行预处理语句
$stmt->execute();
echo "New record created successfully";
} catch(PDOException $e) {
echo "Error: " . $e->getMessage();
}
// 关闭连接
$conn = null;
?>
在上面的示例中，我们准备了一个插入语句的预处理语句，并使用 bindParam() 方法将参数绑定到占位符 ? 上。参数索引从 1 开始。然后执行了预处理语句，插入了一条新记录。最后关闭了数据库连接。
在 PDO 中，你也可以使用命名占位符来绑定参数，例如 :firstname、:lastname、:email。使用命名占位符时，可以使用 bindParam(':name', $value) 或 execute(array(':name' => $value)) 来绑定参数。