如何在MySQLi预处理语句中使用PHP常量？两种写法哪种可行？

首先直接给结论：你提供的两种写法都是可行的，它们的功能完全一致——PHP会在字符串拼接阶段把STATE_INACTIVE常量替换成它的实际值，最终传递给prepare()的都是完整的SQL语句。

两种写法的差异与选择 #

从功能上来说，两者没有本质区别，但从可维护性和调试便利性来看，写法二更合适：

• 写法二中把SQL语句先存入变量$query，你可以在调用prepare()之前轻松打印（比如var_dump($query)），快速验证最终生成的SQL是否符合预期，排查语法问题会更方便。
• 写法一的SQL直接内嵌在prepare()的参数里，调试时需要额外拆解字符串，效率更低。

重要的安全与健壮性提醒 #

虽然这两种写法都能工作，但有个潜在风险需要注意：如果STATE_INACTIVE的常量值包含SQL特殊字符（比如单引号、反斜杠），直接字符串拼接会导致SQL语法错误，甚至可能引入SQL注入风险（虽然常量一般是预定义的，但如果未来常量值的来源发生变化，风险就会出现）。

更安全、更健壮的做法是把常量也作为预处理参数绑定，完全避免字符串拼接带来的问题：

$stmt = $this->conn->prepare("SELECT city FROM masters WHERE email = ? AND estado != ?");
$stmt->bind_param("ss", $email, STATE_INACTIVE);

这种方式不管STATE_INACTIVE的值是什么，都会被MySQL安全地处理，既不会有语法错误，也彻底杜绝了注入风险，同时代码的可读性也更好。

内容的提问来源于stack exchange，提问作者Frede Veloz