prepared statement在mysql中如何使用

来源：这里教程网时间：2026-02-28 20:10:21 作者：

在 MySQL 中使用 Prepared Statement 可以提高执行效率，尤其是多次执行相同结构的 SQL 语句时。它还能有效防止 SQL 注入，提升安全性。Prepared Statement 的使用分为两个阶段：准备（PREPARE）和执行（EXECUTE），可以通过 SQL 命令直接操作，也可以在编程语言中通过数据库驱动调用。

1. 在 MySQL 命令行中使用 Prepared Statement

你可以在 MySQL 客户端直接使用 PREPARE、EXECUTE 和 DEALLOCATE 命令来操作预处理语句。

示例：

准备一个插入语句：

PREPARE stmt FROM 'INSERT INTO users (name, age) VALUES (?, ?)';

执行语句，传入参数：

SET @name = '张三', @age = 25;
EXECUTE stmt USING @name, @age;

再次执行不同参数：

SET @name = '李四', @age = 30;
EXECUTE stmt USING @name, @age;

释放预处理语句：

DEALLOCATE PREPARE stmt;

这里 ? 是占位符，实际值通过变量传入。所有用户定义变量以 @ 开头。

2. 在编程语言中使用（以 PHP 为例）

大多数编程语言的 MySQL 扩展都支持预处理语句，例如 PHP 的 PDO 或 MySQLi。

PDO 示例：

$pdo = new PDO("mysql:host=localhost;dbname=test", $user, $pass);
<p>$stmt = $pdo->prepare("SELECT * FROM users WHERE name = ? AND age > ?");
$stmt->execute(['张三', 18]);</p><p>$results = $stmt->fetchAll();</p>

命名参数方式更清晰：

$stmt = $pdo->prepare("SELECT * FROM users WHERE name = :name AND age > :age");
$stmt->execute([':name' => '张三', ':age' => 18]);

MySQLi 面向对象方式：

$mysqli = new mysqli("localhost", "user", "pass", "test");
<p>$stmt = $mysqli->prepare("INSERT INTO users (name, age) VALUES (?, ?)");
$stmt->bind_param("si", $name, $age); // s 表示字符串，i 表示整数</p><p>$name = '王五';
$age = 22;
$stmt->execute();</p><p>$stmt->close();</p>