含null、290131的非用户输入SQL插入语句是否需预编译？

嘿，这个问题问得很实在！先直接给你结论：在你描述的场景下，直接执行这两个语句完全正确，没必要用预编译。下面给你掰扯清楚原因：

• 预编译语句最核心的设计目的是防范SQL注入攻击，而SQL注入的前提是你的SQL语句里拼接了来自外部的、不可控的用户输入。你这两个语句：

  INSERT INTO users (id) VALUES (null); -- 触发默认值生成
  INSERT INTO user_reputation (id) VALUES (290131);
  

  完全是固定的静态语句，没有任何动态变量或用户输入，根本不存在注入风险，所以直接执行完全安全。

• 预编译的另一个优势是重复执行时的性能优化——数据库会缓存预编译后的执行计划，多次执行同一条带参数的语句时更快。但你这两个语句是在用户注册的事务里单次执行的固定逻辑，这个优势完全发挥不出来，强行用预编译反而有点画蛇添足。

当然，要是以后你的SQL语句里需要加入用户输入的内容（比如用户名、邮箱），那必须毫不犹豫地用预编译语句，这是安全底线。但就当前这两个固定语句来说，直接执行是非常合理的选择。

内容的提问来源于stack exchange，提问作者ArabianMaiden