<p>预处理语句通过预先编译SQL模板并绑定参数，提升MySQL执行效率并防止SQL注入；其原理为两步：定义带占位符的SQL语句，再传入参数执行；MySQL缓存执行计划，适用于高频次相同结构查询；可通过PREPARE、SET、EXECUTE、DEALLOCATE在SQL中操作，如PREPARE stmt FROM 'SELECT FROM users WHERE id = ?'; SET @user_id = 100; EXECUTE stmt USING @user_id; DEALLOCATE PREPARE stmt；编程语言如PHP使用PDO或MySQLi支持预处理，示例为$pdo->prepare('SELECT </em> FROM users WHERE email = ?'); $stmt->execute(['john@example.com'])；命名参数更清晰，如:status；优点包括自动转义防注入、性能高、代码清晰；注意占位符不可用于表名列名等非值位置，预处理语句按连接独立维护且可能因空闲被服务器清理。</p>
预处理语句（Prepared Statement）能提升 MySQL 执行效率并防止 SQL 注入。它通过将 SQL 模板预先编译，后续只需传入参数即可重复执行。
基本原理
Prepared Statement 分两步：先定义带占位符的 SQL 语句，再绑定具体参数值执行。MySQL 会缓存执行计划，适合频繁执行相同结构的查询。
在 SQL 中使用
可在客户端直接用 SQL 命令操作：
-
准备语句：使用
PREPARE定义模板 -
设置变量：用
SET赋值参数 -
执行：调用
EXECUTE运行 -
释放：用
DEALLOCATE PREPARE清理资源
示例：
PREPARE stmt FROM 'SELECT * FROM users WHERE id = ?'; SET @user_id = 100; EXECUTE stmt USING @user_id; DEALLOCATE PREPARE stmt;
在编程语言中使用（以 PHP 为例）
PHP 的 PDO 或 MySQLi 都支持预处理语句。
PDO 示例：
$pdo = new PDO($dsn, $user, $pass);
$stmt = $pdo->prepare('SELECT * FROM users WHERE email = ?');
$stmt->execute(['john@example.com']);
$result = $stmt->fetchAll();
命名参数更清晰：
$stmt = $pdo->prepare('SELECT * FROM users WHERE status = :status');
$stmt->bindValue(':status', 'active');
$stmt->execute();
优点与注意事项
优势明显：
- 自动转义参数，避免 SQL 注入
- 多次执行时性能更高
- 代码更清晰，逻辑分离
注意点：
- 占位符不能用于表名、列名等非值位置
- 每个连接独立维护预处理语句
- 长时间空闲可能被服务器自动清理
基本上就这些。用好预处理语句是安全高效操作数据库的基础。
