prepared statement在mysql中如何使用-mysql教程-PHP中文网

prepared statement在mysql中如何使用

P粉602998670

发布： 2025-10-03 20:58:02

原创

476人浏览过

Prepared Statement通过预编译SQL提升执行效率与安全性，适用于多次执行相同结构的SQL操作。1. 在MySQL命令行中，使用PREPARE、EXECUTE和DEALLOCATE管理预处理语句，参数通过?占位符和@变量传入；2. 在PHP等编程语言中，PDO或MySQLi支持预处理，PDO可使用位置或命名参数，MySQLi需绑定参数类型；3. 优势包括性能提升、防止SQL注入、代码清晰；4. 注意表名列名不可用占位符，复杂语法可能受限，且预处理语句仅在当前连接有效。开发中应优先使用数据库驱动的预处理接口。

prepared statement在mysql中如何使用

在 MySQL 中使用 Prepared Statement 可以提高执行效率，尤其是多次执行相同结构的 SQL 语句时。它还能有效防止 SQL 注入，提升安全性。Prepared Statement 的使用分为两个阶段：准备（PREPARE）和执行（EXECUTE），可以通过 SQL 命令直接操作，也可以在编程语言中通过数据库驱动调用。

1. 在 MySQL 命令行中使用 Prepared Statement

你可以在 MySQL 客户端直接使用 PREPARE、EXECUTE 和 DEALLOCATE 命令来操作预处理语句。

示例：

准备一个插入语句：

PREPARE stmt FROM 'INSERT INTO users (name, age) VALUES (?, ?)';

登录后复制

执行语句，传入参数：

SET @name = '张三', @age = 25;
EXECUTE stmt USING @name, @age;

登录后复制

再次执行不同参数：

SET @name = '李四', @age = 30;
EXECUTE stmt USING @name, @age;

登录后复制

释放预处理语句：

DEALLOCATE PREPARE stmt;

登录后复制

这里 ? 是占位符，实际值通过变量传入。所有用户定义变量以 @ 开头。

2. 在编程语言中使用（以 PHP 为例）

大多数编程语言的 MySQL 扩展都支持预处理语句，例如 PHP 的 PDO 或 MySQLi。

PDO 示例：

如知AI笔记

如知笔记——支持markdown的在线笔记，支持ai智能写作、AI搜索，支持DeepseekR1满血大模型

查看详情

$pdo = new PDO("mysql:host=localhost;dbname=test", $user, $pass);
<p>$stmt = $pdo->prepare("SELECT * FROM users WHERE name = ? AND age > ?");
$stmt->execute(['张三', 18]);</p><p>$results = $stmt->fetchAll();</p>

登录后复制

命名参数方式更清晰：

$stmt = $pdo->prepare("SELECT * FROM users WHERE name = :name AND age > :age");
$stmt->execute([':name' => '张三', ':age' => 18]);

登录后复制

MySQLi 面向对象方式：

$mysqli = new mysqli("localhost", "user", "pass", "test");
<p>$stmt = $mysqli->prepare("INSERT INTO users (name, age) VALUES (?, ?)");
$stmt->bind_param("si", $name, $age); // s 表示字符串，i 表示整数</p><p>$name = '王五';
$age = 22;
$stmt->execute();</p><p>$stmt->close();</p>

登录后复制