许多成熟的数据库都支持预处理语句（prepared statements)的概念。它们是什么东西？
你可以把它们想成是一种编译过的要执行的sql语句模板，可以使用不同的变量参数定制它。
预处理语句对于防止 mysql 注入是非常有用的。
预处理语句用于执行多个相同的 sql 语句，并且执行效率更高。
预处理语句的工作原理如下：
1、预处理：创建 sql 语句模板并发送到数据库。预留的值使用参数 ? 标记 。例如：
insert into myguests (firstname, lastname, email) values(?, ?, ?)
2、数据库解析，编译，对sql语句模板执行查询优化，并存储结果不输出。
3、执行：最后，将应用绑定的值传递给参数（? 标记），数据库执行语句。应用可以多次执行语句，如果参数的值不一样。
php 预处理语句的优点
相比于直接执行sql语句，预处理语句有两个主要优点：
预处理语句大大减少了分析时间，只做了一次查询（虽然语句多次执行）。
绑定参数减少了服务器带宽，你只需要发送查询的参数，而不是整个语句。
预处理语句针对sql注入是非常有用的，因为参数值发送后使用不同的协议，保证了数据的合法性。
更多相关知识，请访问 ！！