blocks|key|644204|text|参数化查询(也称为准备好的语句)是一种预编译SQL语句的方法，因此您只需提供需要插入语句中的“参数”(如“变量”)即可执行语句。它通常用作预防SQL+injection+attacks的一种手段。|type|unstyled|depth|inlineStyleRanges|entityRanges|offset|length|data|644205|您可以在PHP+(PDO是一个数据库抽象层)上了解更多关于它们的信息，不过如果您使用的是mysqli数据库接口(请参阅prepare文档)，也可以使用它们。|644206|entityMap|0|LINK|mutability|MUTABLE|url|https://stackoverflow.com/questions/60174/best-way-to-stop-sql-injection-in-php|1|http://www.php.net/manual/en/mysqli.prepare.php^0|1Z|L|0|0|1N|7|1|0^^$0|@$1|2|3|4|5|6|7|P|8|@]|9|@$A|Q|B|R|1|S]]|C|$]]|$1|D|3|E|5|6|7|T|8|@]|9|@$A|U|B|V|1|W]]|C|$]]|$1|F|3|-4|5|6|7|X|8|@]|9|@]|C|$]]]|G|$H|$5|I|J|K|C|$L|M]]|N|$5|I|J|K|C|$L|O]]]]

A parameterized query (also known as a prepared statement) is a means of pre-compiling a SQL statement so that all you need to supply are the "parameters" (think "variables") that need to be inserted into the statement for it to be executed. It's commonly used as a means of preventing <a href="https://stackoverflow.com/questions/60174/best-way-to-stop-sql-injection-in-php">SQL injection attacks</a>.

You can read more about these on PHP's <a href="http://php.net/manual/en/pdo.prepared-statements.php" rel="noreferrer">PDO page</a> (PDO being a database abstraction layer), although you can also make use of them if you're using the mysqli database interface (see the <a href="http://www.php.net/manual/en/mysqli.prepare.php" rel="noreferrer">prepare</a> documentation).

blocks|key|1672052|text|这是对它是什么以及它是如何工作的清晰而简洁的解释。How+and+Why+to+use+Parameterization+[]|type|unstyled|depth|inlineStyleRanges|entityRanges|offset|length|data|1672053|这个过程涉及到服务器在不带参数的情况下对请求进行预处理，以便它知道它是哪种类型的查询。因此，例如，一个SELECT查询只是一个SELECT查询，不能由一个参数(请求变量)连接成一个SELECT+/+DROP或其他一些MySql注入。相反，注入数据将只是参数字段中的字符串数据。|1672054|entityMap|0|LINK|mutability|MUTABLE|url|http://blogs.msdn.com/b/sqlphp/archive/2008/09/30/how-and-why-to-use-parameterized-queries.aspx?Redirected=true^0|P|Z|0|0|0^^$0|@$1|2|3|4|5|6|7|N|8|@]|9|@$A|O|B|P|1|Q]]|C|$]]|$1|D|3|E|5|6|7|R|8|@]|9|@]|C|$]]|$1|F|3|-4|5|6|7|S|8|@]|9|@]|C|$]]]|G|$H|$5|I|J|K|C|$L|M]]]]

This is a clear and succinct explanation of what it is, and how it works.
<a href="http://blogs.msdn.com/b/sqlphp/archive/2008/09/30/how-and-why-to-use-parameterized-queries.aspx?Redirected=true" rel="nofollow noreferrer">How and Why to use Parameterization</a> [<a href="https://web.archive.org/web/20131230143316/http://blogs.msdn.com/b/sqlphp/archive/2008/09/30/how-and-why-to-use-parameterized-queries.aspx" rel="nofollow noreferrer">archive link</a>]
Essential the process involves the server preprocessing the request without parameters so it knows the type of query it is. So, for example a SELECT query is only a SELECT query, and cannot be concatenated by a parameter(request variable) to be a SELECT / DROP or some other MySql injection. Instead the injection data will be just string data in the parameter field.

blocks|key|4313700|text|参数化查询是一种查询，其中占位符用于参数，参数值在执行时提供。|type|unstyled|depth|inlineStyleRanges|entityRanges|data|4313701|为什么使用参数化查询|offset|length|style|BOLD|4313702|使用参数化查询的最重要的原因是为了避免注入attacks.|4313703|Secondly参数化查询会处理查询可能失败的情况，例如在字段中插入O‘|ordered-list-item|4313704|。参数化查询可处理此类查询，而不会强制您将单引号替换为双单引号。|4313705|4313706|4313707|entityMap^0|0|0|A|0|0|1|1|0|0^^$0|@$1|2|3|4|5|6|7|S|8|@]|9|@]|A|$]]|$1|B|3|C|5|6|7|T|8|@$D|U|E|V|F|G]]|9|@]|A|$]]|$1|H|3|I|5|6|7|W|8|@]|9|@]|A|$]]|$1|J|3|K|5|L|7|X|8|@]|9|@]|A|$]]|$1|M|3|N|5|L|7|Y|8|@]|9|@]|A|$]]|$1|O|3|-4|5|6|7|Z|8|@]|9|@]|A|$]]|$1|P|3|-4|5|6|7|10|8|@]|9|@]|A|$]]|$1|Q|3|-4|5|6|7|11|8|@]|9|@]|A|$]]]|R|$]]

A parameterized query is a query in which placeholders are used for parameters and the parameter values are supplied at execution time. 

Why use Parameterized Query

<ol>
<li>The most important reason to use parameterized queries is to avoid SQL injection attacks.</li>
<li>Secondly parameterized query takes care of scenario where sql query might fail for e.g. inserting of O'Baily in a field. Parameterized query handels such query without forcing you to replace single quotes with double single quotes.</li>
</ol>

blocks|key|644277|text|这条语句是数据库系统的一个特性，在数据库系统中，相同的SQL语句可以高效地重复执行。准备好的语句是模板的一种，由具有不同参数的应用程序使用。Reference+Article|type|unstyled|depth|inlineStyleRanges|entityRanges|offset|length|data|644278|数据库系统可以执行相同的SQL语句，而不需要对相同的SQL语句进行反复的解析、编译和优化。|644279|您可以用MySQL编写或创建预准备语句，但这不是一种有效的方法，因为通过预准备语句API的二进制协议更好。|644280|但是您仍然可以编写代码，即使这样也不需要任何其他编程，您可以直接用SQL编写。您可以在statement中使用预准备语句，也可以在存储过程中使用预准备语句来实现动态MySQL方法。|644281|在MySQL中创建预准备语句：reference+is+taken+from+this+article|644282|PREPARE+TestStmt+FROM+
'SELECT+*+FROM+Test+
WHERE+TestNumber=?';|code-block|syntax|javascript|644283|您可以使用PHP代码通过其API来管理预准备语句，也可以在JDBC级别进行管理。|644284|entityMap|0|LINK|mutability|MUTABLE|url|http://www.dbrnd.com/2015/08/prepared-or-parameterized-statements-in-database-system/|1|http://www.dbrnd.com/2015/09/prepared-or-parameterized-statement-in-mysql/^0|1Y|H|0|0|0|0|0|F|10|1|0|0|0^^$0|@$1|2|3|4|5|6|7|12|8|@]|9|@$A|13|B|14|1|15]]|C|$]]|$1|D|3|E|5|6|7|16|8|@]|9|@]|C|$]]|$1|F|3|G|5|6|7|17|8|@]|9|@]|C|$]]|$1|H|3|I|5|6|7|18|8|@]|9|@]|C|$]]|$1|J|3|K|5|6|7|19|8|@]|9|@$A|1A|B|1B|1|1C]]|C|$]]|$1|L|3|M|5|N|7|1D|8|@]|9|@]|C|$O|P]]|$1|Q|3|R|5|6|7|1E|8|@]|9|@]|C|$]]|$1|S|3|-4|5|6|7|1F|8|@]|9|@]|C|$]]]|T|$U|$5|V|W|X|C|$Y|Z]]|10|$5|V|W|X|C|$Y|11]]]]

This statement is one of features of the database system in which same SQL statement executes repeatedly with high efficiency. The prepared statements are one kind of the Template and used by application with different parameters.<a href="http://www.dbrnd.com/2015/08/prepared-or-parameterized-statements-in-database-system/" rel="nofollow">Reference Article</a>

Database System can execute the same SQL statement without doing the parsing, compiling and optimizing again and again for the same kind of SQL Statement.

You can write or create prepared statement in MySQL but this is not an efficient way because the binary protocol through a prepared statement API is better.

But still you can write and even this doesn’t require any other programming you can directly write in SQL.
You can use a prepared statement for MySQL Client program.You can also use a prepared statement in a stored procedure for the dynamic SQL approach.

Create prepared statement in MySQL: <a href="http://www.dbrnd.com/2015/09/prepared-or-parameterized-statement-in-mysql/" rel="nofollow">reference is taken from this article</a>

<pre><code>PREPARE TestStmt FROM 
'SELECT * FROM Test 
WHERE TestNumber=?';
</code></pre>

You can use PHP code to manage prepared statement through its API or manage at the level of JDBC.

What is a parameterized query, and what would an example of such a query be in PHP and MySQL?

What is parameterized query?

翻译质量差，导致语言生硬或混乱。

没有提供实际的解决方法或示例。

解答不清晰，无法理解或解决问题。

页面排版不美观，阅读体验差。

文章

问答

视频

教程

学习中心

腾讯云实验室

直播

竞赛

腾讯云代码分析专区

腾讯iOA零信任安全管理系统专区

腾讯云架构师技术同盟交流圈

腾讯云数据库专区

腾讯云智能顾问专区

腾讯云原生专区

腾讯混元专区

腾讯云TCE专区

腾讯云Lighthouse专区

腾讯云HAI专区

腾讯云Edgeone专区

腾讯云存储专区

腾讯云智能专区

腾讯轻联专区 

腾讯云开发专区

TAPD专区

腾讯轻量云游戏服专区

EdgeOne AI 安全实战专区

腾讯云最具价值专家

腾讯云架构师技术同盟

腾讯云创作之星

腾讯云开发者先锋

腾讯云代码助手

云原生构建

TAPD 敏捷项目管理

Cloud Studio

SDK中心

API中心

命令行工具

涵盖代码开发、场景应用、自动测试全流程，助你从零构建专属AI助手

一站式MCP教程库，解锁AI应用新玩法

聚焦“写作效率、视觉美观与运行性能”三方面进行全面升级，为您提供更高效、稳定的创作环境

社区富文本&Markdown编辑器全新改版上线，欢迎大家体验!

诚挚邀请您参与本次调研，分享您的真实使用感受与建议。您的反馈至关重要，感谢您的支持与参与！

社区新版编辑器体验调研

什么是参数化查询，在PHP和MySQL中会有什么这样的查询示例？

问什么是参数化查询？
EN

回答 4

Stack Overflow用户

Stack Overflow用户

Stack Overflow用户

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐

问什么是参数化查询？EN

回答 4

Stack Overflow用户

Stack Overflow用户

Stack Overflow用户

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐

问什么是参数化查询？
EN