很多更成熟的數據庫都支持預處理語(yǔ)句的概念。什么是預處理語(yǔ)句？可以把它看作是想要運行的 SQL 的一種編譯過(guò)的模板，它可以使用變量參數進(jìn)行定制。預處理語(yǔ)句可以帶來(lái)兩大好處：
預處理語(yǔ)句如此有用，以至于它們唯一的特性是在驅動(dòng)程序不支持的時(shí)PDO 將模擬處理。這樣可以確保不管數據庫是否具有這樣的功能，都可以確保應用程序可以用相同的數據訪(fǎng)問(wèn)模式。
示例 #1 用預處理語(yǔ)句進(jìn)行重復插入
下面例子通過(guò)用 name 和 value 替代相應的命名占位符來(lái)執行一個(gè)插入查詢(xún)
<?php
$stmt = $dbh->prepare("INSERT INTO REGISTRY (name, value) VALUES (:name, :value)");
$stmt->bindParam(':name', $name);
$stmt->bindParam(':value', $value);
// 插入一行
$name = 'one';
$value = 1;
$stmt->execute();
// 用不同的值插入另一行
$name = 'two';
$value = 2;
$stmt->execute();
?>
示例 #2 用預處理語(yǔ)句進(jìn)行重復插入
下面例子通過(guò)用 name 和 value 取代 ? 占位符的位置來(lái)執行一條插入查詢(xún)。
<?php
$stmt = $dbh->prepare("INSERT INTO REGISTRY (name, value) VALUES (?, ?)");
$stmt->bindParam(1, $name);
$stmt->bindParam(2, $value);
// 插入一行
$name = 'one';
$value = 1;
$stmt->execute();
// 用不同的值插入另一行
$name = 'two';
$value = 2;
$stmt->execute();
?>
示例 #3 使用預處理語(yǔ)句獲取數據
下面例子獲取數據基于鍵值已提供的形式。用戶(hù)的輸入被自動(dòng)用引號括起來(lái)，因此不會(huì )有 SQL 注入攻擊的危險。
<?php
$stmt = $dbh->prepare("SELECT * FROM REGISTRY where name = ?");
$stmt->execute([$_GET['name']]);
foreach ($stmt as $row) {
print_r($row);
}
?>
示例 #4 Calling a stored procedure with an output parameter
如果數據庫驅動(dòng)支持，應用程序還可以綁定輸出和輸入參數。 輸出參數通常用于從存儲過(guò)程獲取值。 輸出參數使用起來(lái)比輸入參數要稍微復雜一些，因為當綁定一個(gè)輸出參數時(shí)，必須知道給定參數的長(cháng)度。 如果為參數綁定的值大于建議的長(cháng)度，就會(huì )產(chǎn)生一個(gè)錯誤。
<?php
$stmt = $dbh->prepare("CALL sp_returns_string(?)");
$stmt->bindParam(1, $return_value, PDO::PARAM_STR, 4000);
// 調用存儲過(guò)程
$stmt->execute();
print "procedure returned $return_value\n";
?>
示例 #5 帶輸入/輸出參數調用存儲過(guò)程
還可以指定同時(shí)具有輸入和輸出值的參數，其語(yǔ)法類(lèi)似于輸出參數。 在下一個(gè)例子中，字符串“hello”被傳遞給存儲過(guò)程， 當存儲過(guò)程返回時(shí)，hello 被替換為該存儲過(guò)程返回的值。
<?php
$stmt = $dbh->prepare("CALL sp_takes_string_returns_string(?)");
$value = 'hello';
$stmt->bindParam(1, $value, PDO::PARAM_STR|PDO::PARAM_INPUT_OUTPUT, 4000);
// 調用存儲過(guò)程
$stmt->execute();
print "procedure returned $value\n";
?>
示例 #6 占位符的無(wú)效使用
<?php
$stmt = $dbh->prepare("SELECT * FROM REGISTRY where name LIKE '%?%'");
$stmt->execute([$_GET['name']]);
// 占位符必須被用在整個(gè)值的位置
$stmt = $dbh->prepare("SELECT * FROM REGISTRY where name LIKE ?");
$stmt->execute(["%$_GET[name]%"]);
?>