1）什么是 MySQL 预处理语句？

MySQL 预处理语句是一种特殊的 SQL 语句，它使用`?`字符作为占位符，表示我们将在运行时将值绑定到它们。预处理语句提供了一种将参数化 SQL 语句存储在数据库不以 SQL 语句形式存储的查询中的方法。这种方法可以提高 SQL 查询的效率和安全性，因为它可以防止 SQL 注入攻击。

2）创建 MySQLi 预处理语句对象

在 PHP 中使用 MySQLi 预处理语句，需要使用`prepare()`方法来创建预处理语句对象。以下是一个简单的例子：

php

$stmt = $conn->prepare("SELECT * FROM users WHERE id = ? AND name = ?");

3）绑定参数到预处理语句

要向预处理语句绑定参数，需要使用`bind_param()`方法。它用于将 PHP 变量及其类型绑定到预处理语句的占位符。以下是一个例子：

php

$stmt->bind_param("ii", $userId, $userName);

在这个例子中，`i`表示参数的类型，`ii`表示接受两个整数类型参数。

4）执行预处理语句并获取结果

要执行预处理语句，需要使用`execute()`方法。执行完毕后，可以使用`get_result()`方法获得结果。以下是一个完整的例子：

php

$stmt = $conn->prepare("SELECT * FROM users WHERE id = ? AND name = ?");

$stmt->bind_param("ii", $userId, $userName);

$stmt->execute();

$result = $stmt->get_result();

while ($row = $result->fetch_assoc()) {

// ...process the data

}

5）使用 MySQLi 预处理语句的高级技巧

有几个高级技巧可以帮助你更好地使用 MySQLi 预处理语句：

a）使用可选参数

在 MySQLi 预处理语句中，你可以添加额外的占位符，用来处理可选参数。以下是一个例子：

php

$stmt = $conn->prepare("INSERT INTO users (id, name, email) VALUES (?, ?, ?)");

$stmt->bind_param("iii", $userId, $userName, $userEmail);

// Optional parameter example

$optional = "";

$stmt->bind_param("iii", $userId, $userName, $userEmail, $optional);

b）绑定和获取二进制数据

虽然 MySQLi 可以处理大量的数据，但是对于二进制数据（如图像），优先使用长字符串类型。以下是一个示例，在绑定和获取二进制数据时使用长字符串类型：

php

$stmt = $conn->prepare("SELECT content FROM posts WHERE id = ?");

$stmt->bind_param("i", $postId);

$stmt->execute();

$result = $stmt->get_result();

$row = $result->fetch_assoc();

$content = $row["content"];

// Display binary data

header('Content-Type: image/jpeg');

echo $content;

exit;

c）使用预处理语句的批量插入功能

如果你要插入多条数据，可以使用 MySQLi 的批量插入功能。请参阅以下示例：

php

// Bind parameters

$stmt->bind_param("sss", $name, $email, $phone);

// Set statement mode to store in prepare

$stmt->setOption(MYSQLI_STMT_ATTR_SETTINGS, MYSQLI_STMT_ATTR_PREPARED_STATEMENT_AUTO_RESET);

// Insert batch data

$names = ["Alice", "Bob", "Carol"];

$emails = ["alice@example.com", "bob@example.com", "carol@example.com"];

$phones = ["123-456-7890", "0987-654-3210", "987-654-3210"];

for ($i = 0; $i < count($names); $i++) {

$stmt->execute();

}

总结：

MySQL 预处理语句在 PHP 中使用 MySQLi 可以提高 SQL 查询的效率和安全性.