要让 mysql 执行带参数的 sql，应使用预处理语句。1. 准备 sql 语句：定义带有占位符（如 ? 或 :name）的 sql 模板；2. 绑定参数：将实际值绑定到占位符；3. 执行语句：安全地运行已编译的语句。例如 python 使用 mysql.connector 时用 %s 占位符并传入元组参数，php 使用 pdo 则通过 bindparam 方法绑定命名参数。预处理可防止 sql 注入，因参数始终被视为数据而非可执行代码。动态生成 sql 时应避免拼接字符串，推荐使用白名单、输入验证或 orm 工具。mysql 存储过程也能执行动态 sql，通过 prepare 和 execute 实现，但仍需注意参数化查询以确保安全。
要让 MySQL 执行带参数的 SQL，你得先理解预处理语句是个好东西。它能有效防止 SQL 注入，而且性能也更好。
解决方案
使用预处理语句是正解。不同编程语言连接 MySQL 的方式不一样，但核心思想都一样：
-
准备 (Prepare) SQL 语句: 先定义一个带有占位符的 SQL 语句，占位符通常用
?表示。 - 绑定 (Bind) 参数: 将实际的参数值绑定到这些占位符上。
- 执行 (Execute) 语句: 执行预处理好的 SQL 语句。
举个 Python 的例子，用 mysql.connector 库：
import mysql.connector
mydb = mysql.connector.connect(
host="localhost",
user="yourusername",
password="yourpassword",
database="yourdatabase"
)
mycursor = mydb.cursor()
sql = "SELECT * FROM customers WHERE address = %s"
adr = ("Highway 37",) # 注意，这里必须是元组
mycursor.execute(sql, adr)
myresult = mycursor.fetchall()
for x in myresult:
print(x)这里 %s 就是占位符，adr 变量包含了要绑定的参数值。 注意 adr 必须是元组，即使只有一个参数。
如果用 PHP，可以试试 PDO：
setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);
$stmt = $conn->prepare("SELECT * FROM MyGuests WHERE lastname=:lastname");
$stmt->bindParam(':lastname', $lastname);
$lastname = "Doe";
$stmt->execute();
$result = $stmt->setFetchMode(PDO::FETCH_ASSOC);
foreach(new TableRows(new RecursiveArrayIterator($stmt->fetchAll())) as $k=>$v) {
echo $v;
}
} catch(PDOException $e) {
echo "Error: " . $e->getMessage();
}
$conn = null;
echo "";
?>:lastname 是占位符，bindParam 用于绑定参数。
如何避免 SQL 注入攻击？
SQL 注入是种很常见的安全漏洞。 攻击者会尝试在你的输入里注入恶意 SQL 代码，从而窃取数据或者破坏数据库。 预处理语句是防止 SQL 注入的关键。 因为预处理语句会将参数值视为数据，而不是 SQL 代码的一部分。 所以，即使攻击者输入了包含 SQL 命令的字符串，这些命令也不会被执行。 不要直接拼接字符串来构建 SQL 语句，这是最危险的做法。
动态生成 SQL 代码的场景有哪些？
有时候，你可能需要根据用户的输入或者其他条件，动态地生成 SQL 代码。 比如，用户可以自定义搜索条件，或者选择排序方式。 这时候，你需要非常小心，避免 SQL 注入。 一种方法是使用白名单机制，只允许用户选择预定义的选项。 另一种方法是对用户的输入进行严格的验证和过滤，确保它们不包含任何恶意代码。 还可以使用 ORM (Object-Relational Mapping) 工具，它们通常会提供一些安全的方法来构建动态查询。 比如，Hibernate、MyBatis 这些，它们内部已经做了很多防注入的处理。
MySQL 存储过程能用来执行动态 SQL 吗？
当然可以。MySQL 存储过程允许你创建可重复使用的 SQL 代码块，并且可以在其中执行动态 SQL。 你可以使用 PREPARE 语句来准备动态 SQL，然后使用 EXECUTE 语句来执行它。 这可以让你在存储过程中灵活地构建和执行各种 SQL 查询。 但是，同样要记住，即使在存储过程中使用动态 SQL，也要注意防止 SQL 注入。 可以使用参数化查询或者对输入进行验证，确保安全。 存储过程的一个好处是，可以将复杂的逻辑封装在数据库服务器端，减少客户端和服务器之间的通信量。
