Php/docs/pdo.prepare
PDO::prepare
(PHP 5 >= 5.1.0, PHP 7, PECL pdo >= 0.1.0)
PDO::prepare — 准备要执行的语句，并返回语句对象
说明
public PDO::prepare
( string $statement
[, array $driver_options = array()
] ) : PDOStatement
为 PDOStatement::execute() 方法准备待执行的 SQL 语句。 SQL 语句可以包含零个或多个参数占位标记，格式是命名（:name）或问号（?）的形式，当它执行时将用真实数据取代。 在同一个 SQL 语句里，命名形式和问号形式不能同时使用；只能选择其中一种参数形式。 请用参数形式绑定用户输入的数据，不要直接字符串拼接到查询里。
调用 PDOStatement::execute() 时，每一个值的参数占位标记，名称必须唯一。 除非启用模拟（emulation）模式，同一个语句里无法使用重名的参数。
Note:
参数占位符仅能字面上展示完整的数据。不能是字面的一部分，不能是关键词，不能是标识符，不能是其他任意的范围。 举例说明：不能把多个值绑到单个参数里，然后在 SQL 语句里用 IN() 查询。
如果用不同参数，通过 PDO::prepare() 和 PDOStatement::execute() 多次调用同一个 SQL 语句，将提升应用的性能 —— 驱动可以让客户端/服务器缓存查询和元信息，还能阻止 SQL 注入攻击，不需要手动给参数加引号。
如果内置驱动不支持参数，PDO 将模拟出参数的功能；如果驱动仅仅支持其中一种风格（命名参数和问号参数两种），也会自动重写到另外一种风格。
参数
statement- 必须是对目标数据库服务器有效的 SQL 语句模板。
driver_options- 数组包含一个或多个 key=>value 键值对，为返回的 PDOStatement 对象设置属性。 常见用法是：设置
PDO::ATTR_CURSOR为PDO::CURSOR_SCROLL，将得到可滚动的光标。 某些驱动有驱动级的选项，在 prepare 时就设置。
返回值
如果数据库服务器完成准备了语句，
PDO::prepare() 返回
PDOStatement 对象。
如果数据库服务器无法准备语句，
PDO::prepare() 返回 false 或抛出
PDOException (取决于 错误处理器)。
Note:
模拟模式下的 prepare 语句不会和数据库服务器交互，所以 PDO::prepare() 不会检查语句。
范例
Example #1 用命名参数形式准备 SQL 语句参数
<?php/* 传入数组的值，并执行准备好的语句 */$sql = 'SELECT name, colour, calories FROM fruit WHERE calories < :calories AND colour = :colour';$sth = $dbh->prepare($sql, array(PDO::ATTR_CURSOR => PDO::CURSOR_FWDONLY));$sth->execute(array(':calories' => 150, ':colour' => 'red'));$red = $sth->fetchAll();$sth->execute(array(':calories' => 175, ':colour' => 'yellow'));$yellow = $sth->fetchAll();?>
Example #2 用问号形式准备 SQL 语句参数
<?php/* 传入数组的值，并执行准备好的语句 */$sth = $dbh->prepare('SELECT name, colour, calories FROM fruit WHERE calories < ? AND colour = ?');$sth->execute(array(150, 'red'));$red = $sth->fetchAll();$sth->execute(array(175, 'yellow'));$yellow = $sth->fetchAll();?>
参见
- PDO::exec() - 执行一条 SQL 语句，并返回受影响的行数
- PDO::query() - 执行 SQL 语句，以 PDOStatement 对象形式返回结果集
- PDOStatement::execute() - 执行一条预处理语句
