该方案防止sql注入
注意：这里只需建立一次连接，以后都是发数据即可！
案例1：利用简单预处理，往数据库中执行dml语句插入（更新，删除同种方法）信息：preparestatment.php
<?php
//创建mysqli对象
$mysqli=new mysqli("localhost","root","123456","test");
//创建预编译对象
$sql="insert into user (name,password,email,age) values(?,?,?,?)";
$mysqli_stmt=$mysqli->prepare($sql) or die($mysqli->error);
$mysqli->query("set names utf8");
//绑定参数
$name="张三";
$password="zs";
$email="zs@163.com";
$age=26;
//参数绑定->给？赋值，这里类型和顺序要一致！
$mysqli_stmt->bind_param("sssi",$name,$password,$email,$age);
$a=$mysqli_stmt->execute();
if(!$a){
die("操作失败".$mysqli_stmt->execute());
}else {
echo " 操作ok ";
}
//释放
$mysqli->close();
用命令增加的新记录！成功！
如果继续添加，就不需要再执行$mysqli->prepare（）了！
现在是只发数据，连接也没断开，这样效率会很高！
<?php
//创建mysqli对象
$mysqli=new mysqli("localhost","root","123456","test");
//创建预编译对象
$sql="insert into user (name,password,email,age) values(?,?,?,?)";
$mysqli_stmt=$mysqli->prepare($sql) or die($mysqli->error);
$mysqli->query("set names utf8");
//绑定参数
$name="张三";
$password="zs";
$email="zs@163.com";
$age=26;
//参数绑定->给？赋值，这里类型和顺序要一致！
$mysqli_stmt->bind_param("sssi",$name,$password,$email,$age);
$a=$mysqli_stmt->execute();//每一个语句后面都要有一个执行语句！
//继续添加
$name="李四";
$password="ls";
$email="ls@sohu.com";
$age="58";
$mysqli_stmt->bind_param("sssi",$name,$password,$email,$age);
$a=$mysqli_stmt->execute();
$name="王五";
$password="ww";
$email="ww@sohu.com";
$age="109";
$mysqli_stmt->bind_param("sssi",$name,$password,$email,$age);
$a=$mysqli_stmt->execute();
if(!$a){
die("操作失败".$mysqli_stmt->execute());
}else {
echo " 操作ok ";
}
//释放
$mysqli->close();
执行时，一次添加3条记录！
案例2:用预处理执行dql语句，查询id>10的用户，如何预防sql注入
<?php
//创建mysqli对象
$mysqli=new mysqli("localhost","root","123456","test");
if(mysqli_connect_error()){
die (mysqli_connect_error());
}
//创建预编译对象
$sql="select id,name,email from user where id>?";
$mysqli_stmt=$mysqli->prepare($sql) or die($mysqli->error);
$mysqli->query("set names utf8");
//绑定参数
$id=10;
//参数绑定->给？赋值，这里类型和顺序要一致！
$mysqli_stmt->bind_param("i",$id);
//绑定结果集
$mysqli_stmt->bind_result($id,$name,$email);
//执行
$mysqli_stmt->execute();
//取出绑定的值
while($mysqli_stmt->fetch()){
echo "<br/>--$id--$name--$email---";
}
//关闭资源
//释放结果
$mysqli_stmt->free_result();
//关闭预编译语句
$mysqli_stmt->close();
//关闭链接
$mysqli->close();
Id>10的都列出来了！
地址引用，所以结果能返回回来！
Sql注入的情况：
还有一种方式，用limit命令也可导致！
不小心输入的命令，就可以获取到更多的信息，这对开发者来说，是非常危险的漏洞！
案例3:
<?php
function showtable($table_name){
$mysqli=new mysqli("localhost","root","123456","test");
if (mysqli_connect_error()){
die (mysqli_connect_error());
}
$sql="select * from $table_name";
$res=$mysqli->query($sql);
echo "共有 行".$res->num_rows."--列=".$res->field_count;
$res->free();
$mysqli->close();
}
showtable("user");
本文转自 gjp0731 51CTO博客，原文链接:http://blog.51cto.com/guojiping/1323190
