参数化查询的示例

Question

有谁能举例说明如何使用MySQL/PHP参数化查询？

Answer 1

参数化查询本质上是一个抽象所有输入的查询.这具有几个良好的副作用,例如使所有输入无害(即,无法进行有害注射)并且在重复使用时使其更快,因为它是预解析和编译的,因此引擎知道如何应用给定的输入.纯mysql中的一个例子是:

PREPARE qry FROM "INSERT INTO tbl VALUES (?)";

该语句现在已编译和缓存,可以重复执行,无需重新编译和解释它:

SET @var = "some input";
EXECUTE qry USING @var;
SET @var = "some other input";
EXECUTE qry USING @var;

在PHP中使用时,它通常像这样(缩短):

$stmt = prepare('INSERT INTO tbl VALUES(?)');
execute($stmt, array("some input"));
execute($stmt, array("some other input"));
execute($stmt, array("some more input"));