Prepared Statement通过预编译SQL提升执行效率与安全性，适用于多次执行相同结构的SQL操作。1. 在MySQL命令行中，使用PREPARE、EXECUTE和DEALLOCATE管理预处理语句，参数通过?占位符和@变量传入；2. 在PHP等编程语言中，PDO或MySQLi支持预处理，PDO可使用位置或命名参数，MySQLi需绑定参数类型；3. 优势包括性能提升、防止SQL注入、代码清晰；4. 注意表名列名不可用占位符，复杂语法可能受限，且预处理语句仅在当前连接有效。开发中应优先使用数据库驱动的预处理接口。
在 MySQL 中使用 Prepared Statement 可以提高执行效率，尤其是多次执行相同结构的 SQL 语句时。它还能有效防止 SQL 注入，提升安全性。Prepared Statement 的使用分为两个阶段：准备（PREPARE）和执行（EXECUTE），可以通过 SQL 命令直接操作，也可以在编程语言中通过数据库驱动调用。
1. 在 MySQL 命令行中使用 Prepared Statement
你可以在 MySQL 客户端直接使用 PREPARE、EXECUTE 和 DEALLOCATE 命令来操作预处理语句。
示例：准备一个插入语句：
PREPARE stmt FROM 'INSERT INTO users (name, age) VALUES (?, ?)';
执行语句，传入参数：
SET @name = '张三', @age = 25; EXECUTE stmt USING @name, @age;
再次执行不同参数：
SET @name = '李四', @age = 30; EXECUTE stmt USING @name, @age;
释放预处理语句：
DEALLOCATE PREPARE stmt;
这里 ? 是占位符，实际值通过变量传入。所有用户定义变量以 @ 开头。
2. 在编程语言中使用（以 PHP 为例）
大多数编程语言的 MySQL 扩展都支持预处理语句，例如 PHP 的 PDO 或 MySQLi。
PDO 示例：
CPWEB企业网站管理系统（以下称CPWEB）是一个基于PHP+Mysql架构的企业网站管理系统。CPWEB 采用模块化方式开发，功能强大灵活易于扩展，并且完全开放源代码，面向大中型站点提供重量级企业网站建设解决方案。CPWEB企业网站管理系统 2.2 Beta 测试版本，仅供测试，不建议使用在正式项目中，否则发生任何的后果自负。
$pdo = new PDO("mysql:host=localhost;dbname=test", $user, $pass);
$stmt = $pdo->prepare("SELECT * FROM users WHERE name = ? AND age > ?");
$stmt->execute(['张三', 18]);
$results = $stmt->fetchAll();
命名参数方式更清晰：
$stmt = $pdo->prepare("SELECT * FROM users WHERE name = :name AND age > :age");
$stmt->execute([':name' => '张三', ':age' => 18]);
MySQLi 面向对象方式：
$mysqli = new mysqli("localhost", "user", "pass", "test");
$stmt = $mysqli->prepare("INSERT INTO users (name, age) VALUES (?, ?)");
$stmt->bind_param("si", $name, $age); // s 表示字符串，i 表示整数
$name = '王五';
$age = 22;
$stmt->execute();
$stmt->close();
3. 使用场景与优势
Prepared Statement 特别适合以下情况：
- 需要多次执行相同 SQL 结构的操作，比如批量插入
- 用户输入作为查询条件，避免拼接 SQL 字符串
- 提升性能，MySQL 会缓存执行计划
- 增强安全性，自动转义参数，防止 SQL 注入
4. 注意事项
并不是所有 SQL 都能使用预处理。以下情况不支持或受限：
- 表名或列名不能用 ? 占位（因为这些属于结构部分，不是数据）
- 某些复杂语法可能无法预处理
- 每个连接维护自己的预处理语句，跨连接无效
基本上就这些。在应用开发中，建议优先使用数据库驱动提供的预处理接口，而不是手动拼接 SQL。这样代码更安全、更清晰。
