PHP PDO 預先處理是怎麼緩衝的呢？

最近出於以下兩個原因，使用預先處理SQL(prepare)。

1. 效率高。

2. 防SQL注入。

看了官方文檔，php.net資料對象

但用起來還是感覺有點迷惑。

效率究竟會不會提升，預先處理如果是相同預先處理SQL，僅僅是換參數，那我想效率一定會提升的：但是，如果是下面這些情況：

//1. 在參數數量不一致的時候不能使用同一個預先處理SQL。如下要使用兩個預先處理語句。SELECT name FROM product WHERE product_id in (?, ?, ?, ?);SELECT name FROM product WHERE product_id in (?, ?, ?, ?, ?);//PS: 如果是參數數量比較多的話，不知道效率會不會比直接(12, 34, 45, 23...)慢，但直接用id列表不能預防SQL注入。//2. 每次執行完預先處理之後，再次執行相同的預先處理，會不會速度更快。$sql = 'SELECT name FROM product where product_id = ?';$statement = PDO::prepare($preSql);$product_id = 111;$statement.bindParam(1, $product_id);$statement->execute();/*最理想的情況是除掉注釋的，直接使用$statement調用兩次。但是，平常一些SQL操作並不是這麼連貫(同類型的SQL可能分開執行)，並不好分析。不能緩衝$statement, 然後調用同一個$statement.如果第一次執行完成後，方法已經結束（資源釋放），第二次執行又重新prepare相同的SQL。這時候不知道會不會調用緩衝的預先處理SQL，如果是緩衝在DB，應該可以調用。但如果緩衝在PHP的話，感覺應該又要重新處理了，這樣感覺沒有直接使用不預先處理的SQL效率高。*///$sql = 'SELECT name FROM product where product_id = ?';//$statement = PDO::prepare($preSql);$product_id = 123;//$statement.bindParam(1, $product_id);$statement->execute();/*同理在處理ORDER的時候，如果緩衝能生效使用參數，是最好的.這樣的話，就可以不用重新預先處理SQL。也可以防SQL注入。*/

感覺寫了這些，最主要的是想知道PDO perpare是怎麼緩衝的？或者有類似的文檔也行（英文的也可以）。

回複內容：

最近出於以下兩個原因，使用預先處理SQL(prepare)。

1. 效率高。

2. 防SQL注入。

看了官方文檔，php.net資料對象

但用起來還是感覺有點迷惑。

效率究竟會不會提升，預先處理如果是相同預先處理SQL，僅僅是換參數，那我想效率一定會提升的：但是，如果是下面這些情況：

//1. 在參數數量不一致的時候不能使用同一個預先處理SQL。如下要使用兩個預先處理語句。SELECT name FROM product WHERE product_id in (?, ?, ?, ?);SELECT name FROM product WHERE product_id in (?, ?, ?, ?, ?);//PS: 如果是參數數量比較多的話，不知道效率會不會比直接(12, 34, 45, 23...)慢，但直接用id列表不能預防SQL注入。//2. 每次執行完預先處理之後，再次執行相同的預先處理，會不會速度更快。$sql = 'SELECT name FROM product where product_id = ?';$statement = PDO::prepare($preSql);$product_id = 111;$statement.bindParam(1, $product_id);$statement->execute();/*最理想的情況是除掉注釋的，直接使用$statement調用兩次。但是，平常一些SQL操作並不是這麼連貫(同類型的SQL可能分開執行)，並不好分析。不能緩衝$statement, 然後調用同一個$statement.如果第一次執行完成後，方法已經結束（資源釋放），第二次執行又重新prepare相同的SQL。這時候不知道會不會調用緩衝的預先處理SQL，如果是緩衝在DB，應該可以調用。但如果緩衝在PHP的話，感覺應該又要重新處理了，這樣感覺沒有直接使用不預先處理的SQL效率高。*///$sql = 'SELECT name FROM product where product_id = ?';//$statement = PDO::prepare($preSql);$product_id = 123;//$statement.bindParam(1, $product_id);$statement->execute();/*同理在處理ORDER的時候，如果緩衝能生效使用參數，是最好的.這樣的話，就可以不用重新預先處理SQL。也可以防SQL注入。*/

感覺寫了這些，最主要的是想知道PDO perpare是怎麼緩衝的？或者有類似的文檔也行（英文的也可以）。

預先處理語句的主要作用有以下兩點：
1.更安全，PDO或底層資料庫的庫會特別照顧那些沒有採取約束條件的綁定變數.如果你總是使用預先處理語句，你將不會容易受到SQL的注入攻擊。
2.有時候查詢可能更快，許多資料庫會緩衝查詢計劃裡的預先處理語句，並用符號參照事先準備好聲明，而不是重新傳輸整個查詢文本。最明顯的是，你只要聲明過一次預先處理對象，後面就能在遇到不同變數時重用該預先處理語句對象。

這兩個中，更安全顯然是更加重要的，這使得預先處理語句缺一不可。效率高的話我覺得可能是在多個預先處理中它都使用同個對象，這部分提高了效率。

原貼

