理解Mysql prepare预处理语句

1、Prepare 介绍 

Prepared Statements很像存储过程，是一种运行在后台的SQL语句集合，我们可以从使用 prepared statements 获得很多好处，无论是性能问题还是安全问题。

Prepared Statements 可以检查一些你绑定好的变量，这样可以保护你的程序不会受到“SQL注入式”攻击。
当然，你也可以手动地检查你的这些变量，然而，手动的检查容易出问题，而且很经常会被程序员忘了。
在性能方面，当一个相同的查询被使用多次的时候，这会为你带来可观的性能优势。你可以给这些Prepared Statements定义一些参数，而MySQL只会解析一次。
最新版本的MySQL在传输Prepared Statements是使用二进制形势，所以这会使得网络传输非常有效率。

2、PREPARE语法
语法:
PREPARE statement_name FROM sql_text /*定义*/   
EXECUTE statement_name [USING variable [,variable...]] /*执行预处理语句*/   
DEALLOCATE PREPARE statement_name /*删除定义*/   
示例
mysql> PREPARE prod FROM "INSERT INTO table1 VALUES(?,?)";   
mysql> SET @p='1';   
mysql> SET @q='2';   
mysql> EXECUTE prod USING @p,@q;   
mysql> SET @name='3';   
mysql> EXECUTE prod USING @p,@name;   
mysql> DEALLOCATE PREPARE prod;  
3、PREPARE 特点
特点如下： 
(1)PREPARE stmt_name FROM preparable_stmt;预定义一个语句，并将它赋给 stmt_name ，tmt_name 是不区分大小写的。
(2)即使 preparable_stmt 语句中的 ? 所代表的是一个字符串，你也不需要将 ? 用引号包含起来。 
(3)如果新的 PREPARE 语句使用了一个已存在的 stmt_name ，那么原有的将被立即释放！ 即使这个新的 PREPARE 语句因为错误而不能被正确执行。
(4)PREPARE stmt_name 的作用域是当前客户端连接会话可见。 
(5)要释放一个预定义语句的资源，可以使用 DEALLOCATE PREPARE 句法。 
(6)EXECUTE stmt_name 句法中，如果 stmt_name 不存在，将会引发一个错误。 
(7)如果在终止客户端连接会话时，没有显式地调用 DEALLOCATE PREPARE 句法释放资源，服务器端会自己动释放它。 
(8)在预定义语句中，CREATE TABLE, DELETE, DO, INSERT, REPLACE, SELECT, SET, UPDATE, 和大部分的 SHOW 句法被支持。
(9)PREPARE 语句可以用于存储过程(从版本MySQL 5.0.13以后)，不支持在函数中使用
4、用于存储过程 
示例：

[cpp]   view plain  copy

1. CREATE PROCEDURE `p1`(IN id INT UNSIGNED,IN name VARCHAR(11))    
2.     BEGIN lable_exit:    
3.         BEGIN    
4.             SET @SqlCmd = 'SELECT * FROM users ';    
5.             IF id IS NOT NULL THEN    
6.                 SET @SqlCmd = CONCAT(@SqlCmd , 'WHERE id=?');    
7.                 PREPARE stmt FROM @SqlCmd;    
8.                 SET @a = id;    
9.                 EXECUTE stmt USING @a;    
10.                 LEAVE lable_exit;    
11.             END IF;    
12.             IF name IS NOT NULL THEN    
13.                 SET @SqlCmd = CONCAT(@SqlCmd , 'WHERE name LIKE ?');    
14.                 PREPARE stmt FROM @SqlCmd;    
15.                 SET @a = CONCAT(name, '%');    
16.                 EXECUTE stmt USING @a;    
17.                 LEAVE lable_exit;    
18.             END IF;    
19.     END lable_exit;    
20. END;    
21. CALL `p1`(1,NULL);    
22. CALL `p1`(NULL,'chenjiayi');    
23. DROP PROCEDURE `p1`;  

5、性能比较
prepare跟普通的sql语句的性能比较

[php]   view plain  copy

1. <?php    
2. class timer {       
3.   public $StartTime = 0;       
4.   public $StopTime = 0;       
5.   public $TimeSpent = 0;       
6.   function start(){       
7.       $this->StartTime = microtime();       
8.   }       
9.          
10.   function stop(){       
11.       $this->StopTime = microtime();       
12.   }       
13.         
14.   function spent() {       
15.       if ($this->TimeSpent) {       
16.         return $this->TimeSpent;       
17.       } else {      
18.           $StartMicro = substr($this->StartTime,0,10);       
19.           $StartSecond = substr($this->StartTime,11,10);       
20.           $StopMicro = substr($this->StopTime,0,10);       
21.           $StopSecond = substr($this->StopTime,11,10);       
22.           $start = floatval($StartMicro) + $StartSecond;       
23.           $stop = floatval($StopMicro) + $StopSecond;       
24.           $this->TimeSpent = $stop - $start;     
25.             return round($this->TimeSpent,8).'秒';       
26.       }      
27.   }     
28. }    
29.     
30. $timer = new timer;       
31. $timer->start();      
32. $mysql = new mysqli('localhost','root','root','ganbaobao_ucenter');    
33. /* sql直接执行 
34. $query = $mysql->query("select username,email from uc_members where uid < 100000");  
35. $result = array();  
36. while($result = $query->fetch_array())  
37. {  
38.    $result[] = array('name'=>$result['username'],'email'=>$result['email']);  
39. }  
40. */    
41. /*执行预查询*/  
42. $query_prepare = $mysql->prepare("select username,email from uc_members where uid < ?");    
43. $id = 100000;    
44. $query_prepare->bind_param("i",$id);    
45. $query_prepare->execute();    
46. $query_prepare->bind_result($username,$email);    
47. $result = array();    
48. while($query_prepare->fetch())    
49. {    
50.     $result[] = array('name'=>$username,'email'=>$email);    
51. }    
52. $timer->stop();      
53. echo '</br>预查询mysql运行100000条数据时间为: '.$timer->spent();      
54. unset($timer);  

执行结果：
普通mysql运行1000条数据时间为: 0.011621秒
普通mysql运行10000条数据时间为: 0.07766891秒
普通mysql运行100000条数据时间为: 0.10834217秒
 
预查询mysql运行1000条数据时间为: 0.00963211秒
预查询mysql运行10000条数据时间为: 0.04614592秒
预查询mysql运行100000条数据时间为: 0.05989885秒