关于 Select 语句的准备语句答案

【问题标题】：Prepared statements on Select statements关于 Select 语句的准备语句
【发布时间】：2012-12-27 13:13:20
【问题描述】：

我刚刚开始将我网站的所有代码转换为准备好的语句以提供额外的安全缓冲，但我发现自己遇到了同样的问题。

经过一番阅读，我决定在所有选择查询中使用准备好的语句，但是我不确定这些查询中的所有变量是否都需要在准备好的语句中用作“参数”。

例如：

其中 some_column 为 NULL

其中 some_column = $_SESSION['some-session-var']

其中 some_column IN ($someArray)

另外，有没有办法给每个条件一个“名称”而不是使用问号？我觉得我以前在文档中看到过这个，但从那以后我就没有运气了。

例如：Where city_name = :cityName。如果是这样，我将如何在此处绑定参数？

谢谢，

埃文

【问题讨论】：

【解决方案1】：

是的。所有进入查询的数据都应该通过占位符添加。否则根本就没有安全感。

虽然prepared statements非常有限并且只支持标量值，所以你的第一个和第三个例子需要额外的编码（例子可以在标签下找到）

你提到的命名占位符属于PDO，mysqli不支持它们

【讨论】：

对于 NULL 问题，似乎这样可以解决问题： $price = NULL; // 注意：没有引号 - 使用 php NULL $stmt = $mysqli->prepare("SELECT id FROM product WHERE price ?"); // 将选择价格为空的产品 $stmt->bind_param($price);但是，我应该如何处理 IN 问题？循环还是排序？