PHP Academy · 课时

预处理语句与绑定参数

Q: 「预处理语句与绑定参数」这节课中我会学到什么？

使用 prepare、bindParam 和 execute 防止 SQL 注入。 你通过在浏览器中直接运行的动手代码来练习 PHP Academy，全天候 AI 导师会在你学习这节课的过程中回答你的问题。

使用 prepare、bindParam 和 execute 防止 SQL 注入。

预处理语句与绑定参数 是 CoddyKit 上的免费 PHP Academy 课时。这是第 2 节课，共 4 节。你可以在下方免费阅读本课时的完整内容 — 然后在浏览器中使用内置代码编辑器和全天候 AI 导师进行实践。这是 PHP Academy 学习路径的一部分，你的进度在网页和 CoddyKit 应用中同步。 PHP Academy 课程共包含 4 节课。

为什么要使用预处理语句

预处理语句会将 SQL 结构与数据分离。用户输入始终会被视为值，而不是 SQL 代码，因此可以避免 SQL 注入。

预处理与执行

基本流程是：使用占位符进行预处理，然后使用值执行。

<?php
$stmt = $pdo->prepare("SELECT * FROM users WHERE email = ?");
$stmt->execute([$_POST["email"]]);
$user = $stmt->fetch();

命名占位符

请使用命名占位符（:name）以提高可读性，尤其是在同一个值会出现多次时。

<?php
$stmt = $pdo->prepare(
    "INSERT INTO users (name, email) VALUES (:name, :email)"
);
$stmt->execute([':name' => "Alice", ':email' => "alice@example.com"]);

bindParam 与 bindValue

bindParam 按引用绑定变量，在执行时读取变量值。bindValue 会立即绑定一个值。

<?php
$name = "Bob";
$stmt = $pdo->prepare("INSERT INTO users (name) VALUES (:name)");
$stmt->bindParam(":name", $name);
$name = "Carol";
$stmt->execute(); // inserts "Carol"

bindValue 示例

如果希望在绑定时锁定值，请使用 bindValue。

<?php
$stmt = $pdo->prepare("SELECT * FROM products WHERE price < :max");
$stmt->bindValue(":max", 50.00, PDO::PARAM_INT);
$stmt->execute();

类型常量

可选的第三个参数用于指定数据类型：PDO::PARAM_INT、PDO::PARAM_STR、PDO::PARAM_BOOL、PDO::PARAM_NULL。

重复执行语句

预处理语句可以执行多次，查询只需在服务器上编译一次。

<?php
$stmt = $pdo->prepare("INSERT INTO logs (msg) VALUES (:msg)");
foreach ($messages as $msg) {
    $stmt->execute([':msg' => $msg]);
}

rowCount()

在 INSERT、UPDATE 或 DELETE 之后，rowCount() 会返回受影响的行数。

<?php
$stmt = $pdo->prepare("DELETE FROM users WHERE active = 0");
$stmt->execute();
echo $stmt->rowCount()." users deleted";

lastInsertId()

执行 INSERT 后，可以通过 $pdo->lastInsertId() 获取自动递增的主键。

<?php
$stmt = $pdo->prepare("INSERT INTO articles (title) VALUES (:t)");
$stmt->execute([':t' => "My Post"]);
$newId = $pdo->lastInsertId();

切勿拼接用户输入

切勿这样做："SELECT * FROM users WHERE name = '".$name."'"。始终使用占位符，即使您已经“清理”过输入也不能例外。

PDO 语句对象

prepare() 会返回一个 PDOStatement，其中包含：execute()、fetch()、fetchAll()、bindParam()、bindValue()、rowCount()。

总结

对于包含外部数据的查询，始终使用预处理语句。优先使用命名占位符。对于需要立即绑定的值，使用 bindValue；对于循环绑定，使用 bindParam。

快速检查

bindParam 何时读取它的值？

常见问题解答

「预处理语句与绑定参数」课时是免费的吗？

是的 — 「预处理语句与绑定参数」的完整文本可在网页上免费阅读。要进行交互式练习（内置代码编辑器和全天候 AI 导师）并解锁 PHP Academy 课程的其余内容，请升级到 CoddyKit PRO。 PHP Academy 课程共包含 4 节课。

「预处理语句与绑定参数」这节课中我会学到什么？

使用 prepare、bindParam 和 execute 防止 SQL 注入。你通过在浏览器中直接运行的动手代码来练习 PHP Academy，全天候 AI 导师会在你学习这节课的过程中回答你的问题。

学习 PHP Academy 需要有经验吗？

无需任何先前经验。CoddyKit 上的 PHP Academy 课程适合初学者到高级学习者，你可以从这里开始或从头开始，按照自己的节奏学习。这是第 2 节课，共 4 节。

「预处理语句与绑定参数」课时需要多长时间？

大多数 CoddyKit 课程大约需要 5–10 分钟。每节课都很精短且互动，所以你能稳步进步，并在网页和应用中从离开的地方继续。

我能在这节 PHP Academy 课中编写并运行代码吗？

能。每节 PHP Academy 课都包含内置代码编辑器，你可以在浏览器中直接编写并运行真实代码，并获得即时 AI 反馈 — 无需本地设置。

此课程中的所有课时

← 返回 PHP Academy