mysql参数化查询的原理是怎样的？例子，php怎么实现？

参数化查询是指在设计与数据库连结并访问数据时，在需要填入数值或数据的地方，使用参数 来给值，这个方法目前已被视为最有效可预防SQL注入攻击的攻击手法的防御方式。

$query=sprintf("SELECT * FROM Users where UserName='%s' and Password='%s'",

mysql_real_escape_string($Username),

mysql_real_escape_string($Password))

mysql_query($query)

或是

$db=new mysqli("localhost","user","pass","database")

$stmt=$mysqli->prepare("SELECT priv FROM testUsers WHERE username=? AND password=?")

$stmt->bind_param("ss",$user,$pass)

$stmt->execute()

1、如果你用过smarty模板引擎、MVC类似框架如tp，那么你自己写一个框架噢！

2、你要对php的继承实现以及其中的小知识点熟知；

3、先列出你的框架目录，什么地方放什么，然后写你的配置文件

4、用到的高频函数有：require 、 require_once 、 file_exites等！

如：sybase_connect连上数据库。

语法: int sybase_connect(string [servername], string [username], string [password])

返回值: 整数函数种类: 数据库功能 本函数用来打开与 Sybase 数据库的连接。

参数 servername 为欲连上的数据库服务器名称。

参数 username 及 password 可省略，分别为连接使用的帐号及密码。

使用本函数需注意早点关闭数据库，以减少系统的负担。

连接成功则返回数据库的连接代号，失败返回 false 值。

set @c1='',@c2='',@c3='',@c4=''

set sql = 'UPDATE myTable SET c1 = ?, c2 = ?, c3 = ? WHERE c4 = ?'

prepare stmt from sql

execute stmt using@c2,@c2,@c3,@c4

---