是否有必要在没有用户输入的情况下为 select 语句使用准备好的语句？

Question

在我的申请开始时，我会检查帐户状态。这是我控制的内部检查，因为我在子域上提供应用程序。

我一直在使用这个： // Retrieve account status for application $query = "SELECT `client_account_status` FROM `version_control` WHERE id = '1' ";

但是，当我适应准备好的语句时，我很好奇在没有用户输入要检查的情况下这是否绝对必要？

$stmt = mysqli_stmt_init($link);
if (mysqli_stmt_prepare($stmt, 'SELECT client_account_status FROM version_control WHERE id = 1')) {

    mysqli_stmt_execute($stmt);
    mysqli_stmt_bind_result($stmt, $client_account_status);
    mysqli_stmt_fetch($stmt);
    mysqli_stmt_close($stmt);
}

Answer 1

必须的，没有。推荐，是的。但是，按照当前编写查询的方式，您无法从准备好的语句中获得任何好处。相反，它应该是：

mysqli_stmt_prepare($stmt, 
    'SELECT client_account_status FROM version_control WHERE id = ?'));

mysqli_stmt_bind_param($stmt, 'i', 1);
mysqli_stmt_execute($stmt);

你的初始版本的问题是mysql无法知道你的查询的哪一部分是参数以及哪一部分是SQL语句。参数化查询的要点是将语句与参数清楚地分开。

请参阅如何防止 PHP 中的 SQL 注入？有关防止 SQL 注入的更多信息。