预处理语句对于防止 MySQL 注入是非常有用的。
SQL注入，就是通过把SQL命令插入到Web表单递交或输入域名或页面请求的查询字符串，最终达到欺骗服务器执行恶意的SQL命令。
预处理语句及绑定参数
预处理语句用于执行多个相同的 SQL 语句，并且执行效率更高。
预处理语句的工作原理如下：
1. 预处理：创建 SQL 语句模板并发送到数据库。预留的值使用参数 "?" 标记 。例如：
INSERT INTO MyGuests (firstname, lastname, email) VALUES(?, ?, ?)
2. 数据库解析，编译，对SQL语句模板执行查询优化，并存储结果不输出。应用可以多次执行语句，如果参数的值不一样。
3. 执行：最后，将应用绑定的值传递给参数（"?" 标记），数据库执行语句。
相比于直接执行SQL语句，预处理语句有两个主要优点
· 预处理语句大大减少了分析时间，只做了一次查询（虽然语句多次执行）。
· 绑定参数减少了服务器带宽，你只需要发送查询的参数，而不是整个语句。
· 预处理语句针对SQL注入是非常有用的，因为参数值发送后使用不同的协议，保证了数据的合法性。
MySQLi 预处理语句
以下实例在 MySQLi 中使用了预处理语句，并绑定了相应的参数:
<?php
header("Content-type:text/html;charset=utf-8"); //设置编码
$servername = "localhost";
$username = "root";
$password = "root";
$dbname = "test";
// 创建连接
$conn = new mysqli($servername, $username, $password, $dbname);
// 检测连接
if ($conn->connect_error) {
die("连接失败: " . $conn->connect_error);
}
// 预处理及绑定
$stmt = $conn->prepare("INSERT INTO MyGuests (firstname, lastname, email) VALUES(?, ?, ?)");
$stmt->bind_param("sss", $firstname, $lastname, $email);
// 设置参数并执行
$firstname = "John";
$lastname = "Doe";
$email = "john@example.com";
$stmt->execute();
$firstname = "Mary";
$lastname = "Moe";
$email = "mary@example.com";
$stmt->execute();
$firstname = "Julie";
$lastname = "Dooley";
$email = "julie@example.com";
$stmt->execute();
echo "新记录插入成功";
$stmt->close();
$conn->close();
?>解析以下实例的每行代码:
"INSERT INTO MyGuests (firstname, lastname, email) VALUES(?, ?, ?)"
在 SQL 语句中，我们使用了问号 (?)，在此我们可以将问号替换为整型，字符串，双精度浮点型和布尔值。
接下来，让我们来看下 bind_param() 函数：
$stmt->bind_param("sss", $firstname, $lastname, $email);
该函数绑定了 SQL 的参数，且告诉数据库参数的值。 "sss" 参数列处理其余参数的数据类型，上面有几个（？）,下面就要有几个数据类型，s 字符告诉数据库该参数为字符串。
参数有以下四种类型:
· i - integer（整型）
· d - double（双精度浮点型）
· s - string（字符串）
· b - BLOB（binary large object:二进制大对象）
每个参数都需要指定类型。
关于怎么指定数据类型，在上一节已经做了介绍
通过告诉数据库参数的数据类型，可以降低 SQL 注入的风险。
上面的代码执行结果：
新记录插入成功
看看你的数据有没有插入成功？
实例
让我们将表单里的数据插入数据库
首先一个HTML 页面
<!DOCTYPE html>
<html lang="en">
<head>
<meta charset="UTF-8">
<title>PHP中文网</title>
</head>
<body>
<form action="insert.php" method="post">
Firstname: <input type="text" name="firstname" /><br/>
Lastname: <input type="text" name="lastname" /><br/>
email: <input type="text" name="email" /><br/>
<input type="submit" />
</form>
</body>
</html>
提交到 php 页面
<?php
header("Content-type:text/html;charset=utf-8"); //设置编码
$servername = "localhost";
$username = "root";
$password = "root";
$dbname = "test";
// 创建连接
$conn = new mysqli($servername, $username, $password, $dbname);
// 检测连接
if ($conn->connect_error) {
die("连接失败: " . $conn->connect_error);
}
// 预处理及绑定
$stmt = $conn->prepare("INSERT INTO MyGuests (firstname, lastname, email) VALUES(?, ?, ?)");
$stmt->bind_param("sss", $firstname, $lastname, $email);
// 设置参数并执行
$firstname = $_POST['firstname'];
$lastname =$_POST['lastname'];
$email = $_POST['email'];
$stmt->execute();
echo "新记录插入成功";
$stmt->close();
$conn->close();
?>通过上面的两个程序，就可以将我们表单里的数据插入到数据库了
下一节