如何批量将mysqli过程化查询转为预处理语句？求合适转换工具

适用工具与实现思路 #

• PHP + 语法解析库：
  用nikic/php-parser这类AST解析库遍历项目PHP文件，精准定位所有mysqli_query调用节点，提取拼接的SQL字符串和变量，将SQL中的变量替换为?占位符，自动生成包含prepare、bind_param、execute的预处理语句代码块，替换原查询逻辑。相比正则，AST解析能避免复杂语法场景下的误匹配。
• Python + 代码解析工具：
  借助libcst或phply库处理PHP语法，编写脚本批量扫描文件，识别旧查询模式后生成标准化预处理代码。适合处理大型项目的复杂代码结构，灵活性更高。
• IDE结构化搜索替换：
  PhpStorm等IDE支持的**结构化搜索与替换（SSR）**功能，无需编写代码即可完成批量转换。自定义搜索模板匹配mysqli_query($conn, "SELECT ... " . mysqli_real_escape_string($conn, $var))这类常见写法，再用替换模板生成预处理语句，适合中小规模项目快速处理。

关键注意点 #

• 转换前务必备份全部源代码，防止出错无法回滚。
• 动态拼接表名、字段名的查询无法直接用预处理占位符，需单独做白名单合法性校验后再处理。
• 转换完成后需分模块测试，确保业务逻辑和语法正确性。

内容的提问来源于stack exchange，提问作者Patrick Désaunay