prepare防SQL注入是因为将SQL结构与数据分离，服务端先编译模板再单独传参，参数不参与SQL解析；但仅适用于DML语句，表名、列名等动态语法部分须用白名单校验。
为什么
能防 SQL 注入
因为
把 SQL 语句结构和数据彻底分开：服务端先编译语句模板，再用
单独传参。参数不会被当 SQL 解析，就算传入
这种字符串，也只会作为普通值匹配，不会改变查询逻辑。
常见错误是以为 “拼接字符串 + 加单引号” 就安全，比如：
—— 这本质还是拼接，
里带单引号或注释符照样崩。
必须用占位符
（MySQLi）或命名参数
（PDO），不能在 SQL 字符串里手动插变量
本身不防注入，关键在后续的
或
传参方式
只对 DML（
/
/
/
）有效；建表、排序字段、表名这些动态部分无法用
占位，得靠白名单校验
MySQLi 中
的典型写法和易错点
很多人卡在参数类型绑定不对，导致查不到数据或报错
。
占位符数量、
类型字符串长度、实际传参个数三者必须严格一致
类型字符用
（string）、
（integer）、
（double）、
（blob），别把
写成
参数必须是变量，不能直接传字面量，比如
会警告，得先
PDO 的
更灵活但默认不报错
PDO 默认开启模拟预处理（
），看起来用了
，其实还是 PHP 拼接 SQL，根本没走 MySQL 的预处理机制 —— 这时候依然可能被注入，尤其在老版本 MySQL 或特殊字符场景下。
MySQL（Linux）
MySQL 9.6.0是面向Linux平台的2026年创新版本，核心架构迎来重大革新。其将外键约束与级联操作从InnoDB引擎层上移至SQL层，确保所有数据变更均被完整记录至Binlog，彻底解决了CDC（变更数据捕获）与主从复制中的数据不一致难题。此外，该版本引入container_aware启动选项以原生适配容器环境，并对审计日志进行了组件化重构，为追求极致数据一致性与云原生体验的开发者提供了全新选择。
下载
必须显式关闭模拟：
命名参数更直观，但注意键名要带冒号：
，不是
前记得
，否则返回空结果，且无报错提示
哪些地方
根本用不了
表名、列名、
字段、
的偏移量 —— 这些属于 SQL 语法结构的一部分，MySQL 不允许用
占位。硬塞进去会直接报错
。
动态表名/字段名必须走白名单过滤，比如：
的数字参数可用
强转，但要注意负数和超大值（如
）可能引发性能问题
排序方向（
/
）不能参数化，只能限定为两个字符串之一
最麻烦的是多条件动态查询，比如“按姓名或邮箱模糊搜”，这时候要么拼 SQL（但字段名和操作符必须白名单），要么用 ORM 的 query builder，别指望
全包。
prepareprepareexecute' OR 1=1 -- "SELECT * FROM user WHERE name = '" + name + "'"name?:namepreparebind_paramexecuteSELECTINSERTUPDATEDELETE?prepareNumber of variables doesn't match number of parametersbind_paramsidbiintbind_param("s", "admin")$user = "admin"; bind_param("s", $user)
$stmt = $mysqli->prepare("SELECT id, name FROM user WHERE status = ? AND age > ?");
$stmt->bind_param("si", $status, $min_age);
$status = "active";
$min_age = 18;
$stmt->execute();
preparePDO::ATTR_EMULATE_PREPARES = trueprepare$pdo->setAttribute(PDO::ATTR_EMULATE_PREPARES, false):emailemailfetch()execute()
$pdo->setAttribute(PDO::ATTR_EMULATE_PREPARES, false);
$stmt = $pdo->prepare("SELECT * FROM user WHERE email = :email AND role = :role");
$stmt->execute([':email' => $input_email, ':role' => $input_role]);
$user = $stmt->fetch();
prepareORDER BYLIMIT?SQLSTATE[42000]: Syntax error or access violationin_array($table, ["user", "order", "log"]) ?: die("invalid table")LIMITintval()9999999999ASCDESCprepare