PHP mysqli预处理语句使用方法详解-php教程-PHP中文网

mysqli->prepare()返回false说明sql语法错误、表/字段名错误、权限不足或含多条语句；需检查单条语句、禁用分号、确认标识符拼写、开启严格报错并设置字符集。

php mysqli预处理语句使用方法详解

直接检查 prepare() 是否返回 false，说明 SQL 语句本身有语法错误、表或字段名拼错、权限不足，或传入了多条语句（MySQLi 不支持多语句预处理）。

确保 $sql 是单条语句，不含分号或多个 ;
表名、列名不能用 ? 占位符替代——只允许在值的位置用 ?，比如 WHERE name = ? 合法，SELECT * FROM ? 会失败
开启错误报告可快速定位：mysqli_report(MYSQLI_REPORT_ERROR | MYSQLI_REPORT_STRICT);，这样 prepare() 失败会直接抛出异常，而不是静默返回 false
连接必须已设置字符集，否则中文等可能触发隐式失败：$mysqli->set_charset("utf8mb4");

bind_param() 第一个参数是类型字符串，每个字符对应后续一个变量，顺序和类型必须严格匹配。写错不会报错，但 execute() 可能返回 false 或结果为空。

"s" 表示字符串（哪怕内容是数字，如 "123"）；"i" 才表示整型（必须是 PHP 整数，不是字符串 "123"）
浮点数用 "d"，不要用 "s" 或漏写
如果绑定的是 NULL，需先用 $var = null; 赋值，再在类型串中对应位置写 "s" 或 "i"（取决于字段定义），不能传 NULL 字面量直接进参数列表
常见陷阱：从 $_POST 或 $_GET 拿到的永远是字符串，整型字段要显式转换：$id = (int)$_GET['id']; $stmt->bind_param("i", $id);

$stmt->execute() 只返回 true 或 false，它不返回结果集。想读 SELECT 结果，必须额外调用 get_result() 获取 mysqli_result 对象，再在其上调用 fetch_all()、fetch_assoc() 等。

宝塔面板 PHP 网站管理：站点创建、删除、启停、PHP 版本切换、域名管理、SSL证书管理、伪静态管理、数据库管理

下载

INSERT/UPDATE/DELETE 用 $stmt->affected_rows 判断影响行数，不需要 get_result()
SELECT 必须走两步：$stmt->execute(); $result = $stmt->get_result(); $rows = $result->fetch_all(MYSQLI_ASSOC);
如果跳过 get_result() 直接对 $stmt 调 fetch_all()，会报致命错误：Fatal error: Call to a member function fetchAll() on bool
注意：get_result() 要求 MySQLi 编译时启用了 mysqlnd 驱动，若用 libmysql（旧环境），得改用 bind_result() + fetch() 方式取值

预处理语句对象可复用，但每次 execute() 读取的是当前变量的值——不是第一次 bind_param() 时的快照。

绑定后修改变量值，下次 execute() 就用新值，无需重新 bind_param()
但如果变量被 unset 或作用域结束（比如在循环内声明），下一次执行就会出错或取到空值
安全做法：每次执行前确保变量存在且类型正确，例如循环插入时，在循环体内重新赋值再 execute()
不要在 bind_param() 中传表达式或函数调用结果（如 $stmt->bind_param("s", $_POST['name'] . 'x')），PHP 不允许引用临时值

实际用起来最易忽略的一点：预处理只保结构不保数据生命周期。变量一丢，execute() 就可能拿空值或报错，而错误提示往往不指向这里。