使用stmt_init 替代傳統拼接SQL 的優勢分析

M66 2025-05-29

在PHP 開發中，數據庫交互是不可避免的一部分。許多初學者甚至部分資深開發者，仍然習慣於通過字符串拼接的方式構建SQL 語句。這種方式雖然簡單直觀，卻在安全性、可維護性與性能方面存在諸多隱患。本文將探討為什麼使用mysqli::stmt_init （或更廣義的預處理語句）是一種更安全高效的選擇，並結合實際案例展示其在開發中的應用價值。

一、SQL 注入：拼接方式的致命缺陷

傳統SQL 拼接方式通常如下所示：

 $user_id = $_GET['id'];
$query = "SELECT * FROM users WHERE id = $user_id";
$result = mysqli_query($conn, $query);

如果$user_id沒有經過嚴格的驗證與過濾，攻擊者可以輕易構造如1 OR 1=1的輸入，進而繞過驗證，訪問甚至修改數據庫中的敏感數據。這種攻擊方式即SQL 注入，是最常見且最危險的安全漏洞之一。

二、預處理語句：徹底解決SQL 注入

使用mysqli::stmt_init創建並使用預處理語句的方式可以有效防止SQL 注入。預處理語句將SQL 語句結構與參數數據分離，參數數據不會被解析為SQL 指令，從根本上杜絕了注入的可能：

 $conn = new mysqli("localhost", "user", "password", "database");

$stmt = $conn->stmt_init();
$stmt->prepare("SELECT * FROM users WHERE id = ?");
$stmt->bind_param("i", $user_id);
$user_id = $_GET['id'];
$stmt->execute();

$result = $stmt->get_result();
while ($row = $result->fetch_assoc()) {
    echo $row['username'] . "<br>";
}

在這個例子中， ?是一個佔位符， bind_param指定了變量的數據類型並綁定變量值。這種方式不僅安全，還使代碼更清晰。

三、性能提升：數據庫層面的優化支持

雖然拼接SQL 在語法層面上比預處理語句更短，但從數據庫執行層面來看，預處理語句具有更高的執行效率。

當一條SQL 被多次執行（如在循環中插入多條記錄），數據庫可以對預處理語句進行編譯緩存，從而減少重複的編譯解析時間，提高整體性能。

 $stmt = $conn->stmt_init();
$stmt->prepare("INSERT INTO logs (message, created_at) VALUES (?, ?)");
$stmt->bind_param("ss", $message, $created_at);

foreach ($logs as $log) {
    $message = $log['msg'];
    $created_at = $log['time'];
    $stmt->execute();
}

相比之下，如果使用拼接語句，數據庫需要每次都重新解析和編譯SQL，從而浪費資源。