很多更成熟的数据库都支持预处理语句的概念。
什么是预处理语句？
可以把它看作是想要运行的 SQL 的一种编译过的模板，它可以使用变量参数进行定制。预处理语句可以带来两大好处：
• 查询仅需解析（或预处理）一次，但可以用相同或不同的参数执行多次。当查询准备好后，数据库将分析、编译和优化执行该查询的计划。对于复杂的查询，此过程要花费较长的时间，如果需要以不同参数多次重复相同的查询，那么该过程将大大降低应用程序的速度。通过使用预处理语句，可以避免重复分析/编译/优化周期。简言之，预处理语句占用更少的资源，因而运行得更快。
• 提供给预处理语句的参数不需要用引号括起来，驱动程序会自动处理。如果应用程序只使用预处理语句，可以确保不会发生SQL 注入。（然而，如果查询的其他部分是由未转义的输入来构建的，则仍存在 SQL 注入的风险）。
预处理语句如此有用，以至于它们唯一的特性是在驱动程序不支持的时PDO 将模拟处理。这样可以确保不管数据库是否具有这样的功能，都可以确保应用程序可以用相同的数据访问模式。
例如：
<?php
/**
* 我直接针对PDO的封装类
* User: seven
* Date: 2017/7/26
* Time: 9:43
*/
class MyPDO
{
/** 访问数据库的PDO对象 */
protected $pdo;
/**
* 当前类的构造函数
* 读取数据库配置信息文件（自己设定的），并初始化PDO对象
*/
function __construct()
{
if(file_exists('db.ini')){
$arr = parse_ini_file('db.ini');
}else{
exit('没有找到对应的数据库配置文件信息 ...');
}
$dsn = "{$arr['dbms']}:dbname={$arr['dbname']};host={$arr['host']};port={$arr['port']};charset={$arr['charset']}";
$user = $arr['user'];
$password = $arr['password'];
$this->pdo = new PDO($dsn,$user,$password);
}
/**
* 销毁自己的操作类时，同时销毁被创建了的PDO对象
*/
function __destruct()
{
$this->pdo = null;
}
/**
* 执行DML操作语句
* @param $sql 需要执行的SQL语句
* @return int 返回执行语句后受到影响的行数
*/
public function pdoExec($sql){
return $this->pdo->exec($sql);
}
/**
* 返回结果为数组结构
* @param $sql 需要执行的SQL语句
* @param int $var 执行query函数的参数（可选值：PDO::FETCH_BOTH（默认）,PDO::FETCH_NUM,PDO::FETCH_ASSOC）
* @return array 将结果转换为数组并返回，如果没有查询结果则返回一个空数组
*/
public function arrayByPdoQuery($sql, $var=PDO::FETCH_BOTH){
$ps = $this->pdo->query($sql, $var);
if($ps)
return $ps->fetchAll();
return array();
}
/**
* 获取查询结果并封装为一个对象数组
* @param $sql 需要执行的SQL语句
* @param string $class_name 创建类的名称
* @param array $ctor_args 此数组的元素被传递给对应类的构造函数
* @return array 返回组装好的对象数组
*/
public function objectByPdoQuery($sql, $class_name='stdClass', $ctor_args=array()){
$ps = $this->pdo->query($sql);
$arr = array();
if($ps){
while ($obj = $ps->fetchObject($class_name, $ctor_args)){
array_push($arr, $obj);
}
}
return $arr;
}
/**
* 使用PDO预编译语句执行DML操作并返回受影响的行数
* @param $sql 需要执行的SQL语句（预编译语句写法）
* @param array $arr 预编译语句需要添加的数据值，数组结构
* @return int 返回DML执行后受影响的行数
*/
public function intByPdoPrepare($sql, array $arr=array()){
$ps =$this->pdo->prepare($sql);
$ps->execute($arr);
return $ps->rowCount();
}
/**
* 使用PDO预编译语句执行查询操作并返回结果集合
* @param $sql 需要执行的SQL语句（预编译语句写法）
* @param array $arr 预编译语句需要添加的数据值，数组结构
* @return array 转换为数组结构的返回值结果
*/
public function arrayByPdoPrepare($sql, array $arr=array()){
$ps =$this->pdo->prepare($sql);
$ps->execute($arr);
if($ps)
return $ps->fetchAll();
return array();
}
/**
* 获取查询结果并封装为一个对象数组
* @param $sql 需要执行的SQL语句
* @param array $arr 预编译语句需要添加的数据值，数组结构
* @param string $class_name 创建类的名称
* @param array $ctor_args 此数组的元素被传递给对应类的构造函数
* @return array 返回组装好的对象数组
*/
public function objectByPdoPrepare($sql, array $arr=array(), $class_name='stdClass', $ctor_args=array()){
$ps =$this->pdo->prepare($sql);
$ps->execute($arr);
$arr = array();
if($ps){
while ($obj = $ps->fetchObject($class_name, $ctor_args)){
array_push($arr, $obj);
}
}
return $arr;
}
}
<?php
/**
* Created by PhpStorm.
* User: seven
* Date: 2017/7/27
* Time: 13:18
*/
include_once 'MyPDO.class.php';
//include_once 'Student.class.php';
$mp = new MyPDO();
$sex = 'male';
//$sql = "select * from student where ssex=?";
//$arr = $mp->objectByPdoQuery($sql, 'Student');
//var_dump($arr);
$sql = "insert into student values (null,?,?,?,?,?,?)";
$params = array(
'xxx','male','xx-xx-xx','xxx','xxxxxxxx','xxxxxxx'
);
$num = $mp->intByPdoPrepare($sql, $params);
echo $num.'<br>';
$sql = "select * from student where ssex=?";
$arr = $mp->objectByPdoPrepare($sql,array($sex),'Student');
var_dump($arr);