php预处理语句通过分离sql结构与数据，有效防止sql注入、提升执行效率、确保类型安全并增强代码可读性；使用pdo或mysqli可实现预处理，支持占位符绑定参数，适用于用户输入处理、批量操作及高频sql执行场景。
PHP预处理语句（Prepared Statements）是与数据库交互时一种安全且高效的方式，尤其适用于防止SQL注入攻击。它通过将SQL语句的结构和数据分离，先编译SQL模板再绑定参数执行，从而提升安全性与性能。
预处理语句的核心优势
1. 防止SQL注入：用户输入的数据不会直接拼接到SQL语句中，而是作为参数传递，数据库会自动进行转义处理。
2. 提高执行效率：对于重复执行的SQL语句，数据库只需编译一次执行计划，后续调用可复用，减少解析开销。
3. 类型安全与自动转义：参数绑定支持明确的数据类型（如整数、字符串等），避免因类型错误导致的异常或漏洞。
立即学习“PHP免费学习笔记（深入）”；
4. 代码更清晰易维护：SQL逻辑与数据分离，便于阅读和调试。
使用PDO进行预处理操作
PDO（PHP Data Objects）是PHP推荐的数据库访问抽象层，支持多种数据库，并提供统一的预处理接口。
- 连接数据库并启用错误模式
- 准备SQL语句（使用占位符）
- 绑定参数或直接传参执行
- 获取结果或影响行数
示例：插入用户信息
try {
$pdo = new PDO("mysql:host=localhost;dbname=testdb", "username", "password");
$pdo->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);
<pre class='brush:php;toolbar:false;'>$stmt = $pdo->prepare("INSERT INTO users (name, email, age) VALUES (?, ?, ?)");
$stmt->execute(["张三", "zhangsan@example.com", 25]);
echo "用户添加成功，ID：" . $pdo->lastInsertId();
} catch (PDOException $e) { echo "错误：" . $e->getMessage(); }
也可以使用命名占位符，提高可读性：
$stmt = $pdo->prepare("INSERT INTO users (name, email, age) VALUES (:name, :email, :age)");
$stmt->bindParam(':name', $name);
$stmt->bindParam(':email', $email);
$stmt->bindParam(':age', $age, PDO::PARAM_INT); // 指定整型
<p>$name = "李四";
$email = "lisi@example.com";
$age = 30;
$stmt->execute();</p>
使用MySQLi进行预处理操作
MySQLi是专为MySQL设计的扩展，也支持预处理语句，分为面向对象和过程两种风格。
示例：查询用户信息（面向对象）
$mysqli = new mysqli("localhost", "username", "password", "testdb");
<p>if ($mysqli->connect_error) {
die("连接失败：" . $mysqli->connect_error);
}</p><p>$stmt = $mysqli->prepare("SELECT id, name, email FROM users WHERE age > ?");
$age = 18;
$stmt->bind_param("i", $age); // i表示整数类型
$stmt->execute();</p><p>$result = $stmt->get_result();
while ($row = $result->fetch_assoc()) {
echo "ID: {$row['id']}, 姓名: {$row['name']}, 邮箱: {$row['email']}<br>";
}</p><p>$stmt->close();
$mysqli->close();</p>
支持的参数类型包括：
- i：整数
- d：双精度浮点数
- s：字符串
- b：BLOB类型（二进制数据）
常见使用场景与建议
预处理语句特别适合以下情况：
- 涉及用户输入的查询或写入操作（如登录、注册、搜索）
- 需要批量插入或更新的数据处理
- 频繁执行的相同结构SQL语句
注意点：
- 占位符不能用于表名、列名或SQL关键字，只能用于值的位置
- 确保开启错误报告以便及时发现语法问题
- 执行后检查受影响行数或返回结果，增强程序健壮性
基本上就这些，合理使用预处理语句能显著提升应用的安全性和稳定性。
