預(yù)處理語句在PHP數(shù)據(jù)庫操作中能有效防止SQL注入並提升執(zhí)行效率。使用MySQLi插入數(shù)據(jù)時，通過prepare()定義語句，bind_param()綁定參數(shù)，多次執(zhí)行只需修改變量並調(diào)用execute()；查詢時同樣用prepare()和bind_param()傳參，再通過bind_result()綁定結(jié)果變量並用fetch()獲取數(shù)據(jù)；若使用PDO，則可通過命名參數(shù)與數(shù)組傳參方式實現(xiàn)類似功能，如prepare()配合execute()傳遞參數(shù)，並通過fetch(PDO::FETCH_ASSOC)獲取關(guān)聯(lián)數(shù)組結(jié)果。

用PHP 做數(shù)據(jù)庫操作時，預(yù)處理語句（prepared statement）是個好東西。它能防止SQL 注入、提升執(zhí)行效率，尤其是需要多次執(zhí)行類似語句的時候更省事。下面通過幾個常用場景，說說怎麼在PHP 中使用prepared statement。

準(zhǔn)備工作：連接數(shù)據(jù)庫

做任何數(shù)據(jù)庫操作前，先得連上數(shù)據(jù)庫。這裡推薦用PDO 或MySQLi，兩者都支持預(yù)處理語句。以MySQLi 為例：

 $mysqli = new mysqli("localhost", "username", "password", "database");
if ($mysqli->connect_error) {
    die("連接失敗: " . $mysqli->connect_error);
}

如果是用PDO，寫法稍有不同，但原理一樣。只要連接成功了，後面就可以開始準(zhǔn)備SQL 語句。

插入數(shù)據(jù)時的預(yù)處理示例

比如註冊用戶時要往數(shù)據(jù)庫裡插入用戶名和郵箱，這時候用預(yù)處理語句可以避免用戶輸入惡意內(nèi)容導(dǎo)致SQL 注入。

 $stmt = $mysqli->prepare("INSERT INTO users (username, email) VALUES (?, ?)");
$stmt->bind_param("ss", $username, $email);

$username = "john_doe";
$email = "john@example.com";
$stmt->execute();

echo "插入成功";
$stmt->close();

• ?是佔位符，實際值在bind_param里傳進去。
• "ss"表示兩個參數(shù)都是字符串類型。
• 執(zhí)行完後關(guān)閉語句，釋放資源。

如果想重複插入多個用戶，只需要改$username和$email的值再調(diào)一次execute()就行，不用重新prepare。

查詢數(shù)據(jù)並綁定結(jié)果變量

查數(shù)據(jù)是常見需求，比如根據(jù)用戶ID 獲取信息。這時也可以用預(yù)處理來防止注入，並且把結(jié)果綁定到變量裡方便後續(xù)使用。

 $stmt = $mysqli->prepare("SELECT username, email FROM users WHERE id = ?");
$stmt->bind_param("i", $id);
$id = 1;
$stmt->execute();
$stmt->bind_result($username, $email);
$stmt->fetch();

echo "用戶名: " . $username . ", 郵箱: " . $email;

$stmt->close();

• bind_result把查詢結(jié)果綁定到變量，之後可以直接用這些變量。
• 如果沒有結(jié)果返回， fetch()會返回false，記得判斷一下。

使用PDO 做預(yù)處理的例子（稍微帶點不同）

PDO 寫法稍微簡潔一點，適合喜歡數(shù)組綁定參數(shù)的人。

 $pdo = new PDO("mysql:host=localhost;dbname=database", "username", "password");

$stmt = $pdo->prepare("SELECT * FROM users WHERE id = :id");
$stmt->execute([':id' => 2]);

$user = $stmt->fetch(PDO::FETCH_ASSOC);
print_r($user);

• 這裡用了命名參數(shù):id ，傳參方式也更靈活。
• fetch(PDO::FETCH_ASSOC)返回的是一個關(guān)聯(lián)數(shù)組，方便取字段。

基本上就這些。用預(yù)處理語句不是特別複雜，但確實能提高安全性和代碼可讀性。不管是插入、更新還是查詢，都可以用這種方式處理。剛開始可能覺得多寫了幾行代碼，但習(xí)慣了以後你會發(fā)現(xiàn)它其實挺順手的。

以上是PHP準(zhǔn)備的陳述示例的詳細內(nèi)容。更多資訊請關(guān)注PHP中文網(wǎng)其他相關(guān)文章！