您现在的位置：程式碼之家 >> 數據庫知識 > >> MySQL 資料庫 >> MySQL 綜合教學

MySQL 預處理語句詳解：原理、占位符用法與 PHP 實戰防注入指南

編輯：MySQL 綜合教學

MySQL 預處理語句詳解：原理、占位符用法與 PHP 實戰防注入指南

預處理語句是資料庫防注入、提升重複執行效率的核心機制。本文系統講解 MySQL 預處理的語法流程、占位符綁定變量、動態參數執行，並給出 PHP PDO 實戰代碼。

一、什麼是預處理？

定義：將 SQL 模板預先發送給服務端進行解析、編譯、優化，生成执行計劃並緩存。後續執行時僅需傳遞參數值，跳過解析編譯階段。

核心優勢：

安全：參數與代碼分離，徹底杜絕 SQL 注入。
高效：重複執行同一模板時，省去重複解析優化開銷。
清晰：業務邏輯與數據分離，代碼可讀性強。

二、 MySQL 客戶端預處理完整流程

步驟 1：準備預處理

PREPARE stmt_name FROM 'SQL 语句';

示例：固定 SQL

PREPARE stmt_insert FROM 'INSERT INTO users(name, age) VALUES("Tom", 25)';

PREPARE 固定SQL

步驟 2：執行預處理

EXECUTE stmt_name;

EXECUTE 執行

三、核心進階：占位符與動態參數

使用 ? 作為佔位符，表示動態變化的數據位置。

語法

PREPARE stmt_name FROM 'SQL 含 ? 佔位符';
SET @var = 值;
EXECUTE stmt_name USING @var;

示例 1：單參數

PREPARE stmt_find FROM 'SELECT * FROM users WHERE id = ?';
SET @uid = 100;
EXECUTE stmt_find USING @uid;

單參數預處理

執行結果

示例 2：多參數

PREPARE stmt_multi FROM 'INSERT INTO users(name, age, email) VALUES(?, ?, ?)';
SET @name = 'Jerry', @age = 30, @email = 'jerry@example.com';
EXECUTE stmt_multi USING @name, @age, @email;

多參數預處理

釋放預處理

DEALLOCATE PREPARE stmt_name;

四、 PHP PDO 實戰防注入代碼

錯誤寫法（拼接 SQL，極度危險）：

$sql = "SELECT * FROM users WHERE name = '" . $_GET['name'] . "'";

正確寫法（PDO 預處理）：

try {
    $pdo = new PDO("mysql:host=localhost;dbname=test;charset=utf8mb4", "root", "password");
    $pdo->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);
    
    $stmt = $pdo->prepare("SELECT * FROM users WHERE name = ? AND status = ?");
    $stmt->execute([$_GET['name'], 1]); // 參數綁定，自動轉義
    
    while ($row = $stmt->fetch(PDO::FETCH_ASSOC)) {
        print_r($row);
    }
} catch (PDOException $e) {
    error_log($e->getMessage());
}

PHP PDO 預處理示例