在 PHP 中使用 MySQL 预处理语句（prepared statements）是一种推荐的方式来执行数据库操作，特别是当涉及到用户输入时。预处理语句可以帮助防止 SQL 注入攻击，因为它们会将数据与 SQL 查询语句分开处理。
### PHP MySQL 预处理语句与数据读取
#### 一、PHP MySQL 预处理语句
在 PHP 中使用 MySQL 预处理语句（Prepared Statements）是一种非常推荐的方法来执行数据库操作，特别是在涉及到用户输入的情况下。预处理语句通过将数据与 SQL 查询语句分离的方式帮助防止 SQL 注入攻击，这是数据库安全领域的一个重要问题。
**为什么使用预处理语句？**
1. **安全性**：预处理语句能够确保用户输入不会被错误地解释为 SQL 代码的一部分，从而避免了 SQL 注入的风险。
2. **性能**：预处理语句可以被复用，这减少了解析 SQL 语句的时间，提高了应用程序的性能。
**如何使用预处理语句？**
下面是一个使用 `mysqli` 扩展在 PHP 中执行预处理语句的示例：
```php
<?php
// 数据库连接参数
$servername = "localhost";
$username = "your_username";
$password = "your_password";
$dbname = "your_database_name";
// 创建连接
$conn = new mysqli($servername, $username, $password, $dbname);
// 检查连接是否成功
if ($conn->connect_error) {
die("连接失败: " . $conn->connect_error);
}
// 准备 SQL 插入语句
$sql = "INSERT INTO my_table (firstname, lastname, email) VALUES (?, ?, ?)";
// 准备预处理语句
$stmt = $conn->prepare($sql);
// 绑定参数 "sss" 表示三个参数都是字符串类型
$stmt->bind_param("sss", $firstname, $lastname, $email);
// 设置参数值并执行预处理语句
$firstname = "John";
$lastname = "Doe";
$email = "john.doe@example.com";
$stmt->execute();
// 检查预处理语句是否执行成功
if ($stmt->affected_rows > 0) {
echo "新记录插入成功";
} else {
echo "插入失败: " . $stmt->error;
}
// 关闭预处理语句和连接
$stmt->close();
$conn->close();
?>
```
**关键点解析：**
- 使用 `prepare()` 方法准备 SQL 语句。
- 使用 `bind_param()` 方法绑定参数，其中 `"sss"` 表示三个参数都为字符串类型。
- 调用 `execute()` 方法执行预处理语句。
- 通过检查 `affected_rows` 来判断操作是否成功。
预处理语句不仅可以用于 `INSERT` 语句，同样适用于 `SELECT`、`UPDATE` 和 `DELETE` 语句等，提高了代码的安全性和效率。
#### 二、PHP MySQL 读取数据
在 PHP 中使用 MySQL 读取数据，通常使用 `SELECT` 语句来从数据库表中检索数据。可以使用 `mysqli` 或 `PDO`（PHP Data Objects）扩展来执行这些操作。
**如何读取数据？**
下面是一个使用 `mysqli` 扩展读取数据的示例：
```php
<?php
// 数据库连接参数
$servername = "localhost";
$username = "your_username";
$password = "your_password";
$dbname = "your_database_name";
// 创建连接
$conn = new mysqli($servername, $username, $password, $dbname);
// 检查连接是否成功
if ($conn->connect_error) {
die("连接失败: " . $conn->connect_error);
}
// SQL 查询语句
$sql = "SELECT * FROM my_table WHERE some_column = ?";
$stmt = $conn->prepare($sql);
// 绑定参数 "s" 表示参数是字符串类型
$stmt->bind_param("s", $value);
// 设置参数值
$value = "some_value";
$stmt->execute();
// 获取结果集
$result = $stmt->get_result();
if ($result->num_rows > 0) {
// 输出数据
while ($row = $result->fetch_assoc()) {
echo "ID: " . $row["id"] . "- FirstName: " . $row["firstname"] . "- LastName: " . $row["lastname"] . "<br>";
}
} else {
echo "0 结果";
}
// 关闭结果集和连接
$result->close();
$stmt->close();
$conn->close();
?>
```
**关键点解析：**
- 使用 `prepare()` 方法准备带有 `WHERE` 子句的 SQL 语句。
- 使用 `bind_param()` 方法绑定参数，其中 `"s"` 表示参数是字符串类型。
- 设置参数值并执行预处理语句。
- 使用 `get_result()` 方法获取结果集。
- 使用 `fetch_assoc()` 方法循环遍历并输出每一行数据。
通过使用预处理语句进行数据读取，不仅可以提高安全性，还可以简化代码结构，提高可维护性和可读性。
