PHP mysqli预处理语句适用场景咨询及代码迁移疑问

首先直接给你一个清晰的结论：不是所有mysqli查询都需要用预处理语句，但任何包含外部输入（无论来源）的查询，都必须使用预处理语句来防范SQL注入。

必须使用预处理语句的场景 #

• 所有涉及用户输入的情况：不管是表单提交的搜索词（就像你代码里的$_POST['search']）、下拉框选择的值、URL里的$_GET参数、Cookie数据，甚至是HTTP请求头里的信息——只要数据不是你在代码里硬写死的固定值，都属于“外部输入”，必须用预处理语句。哪怕你觉得下拉框的选项是你自己控制的，用户依然可以通过篡改前端请求发送非法值，所以这类场景绝对不能偷懒。
• 动态生成的查询变量：哪怕变量不是直接来自用户，而是从数据库读取后再复用的数据（比如你之前查询得到的某个ID再作为下一个查询的条件），虽然风险相对低，但用预处理语句依然是最安全的通用做法。

可以不用预处理语句的场景 #

如果你的查询是完全静态的，所有内容都是硬编码的固定值，比如你提到的那些被require引入的文件里的简单SELECT：

SELECT image, link FROM tblimages WHERE catid = 3

这里没有任何变量，所有条件都是固定的，这种情况下直接执行普通查询就没问题，不会有SQL注入的风险。

对你代码的点评 #

你写的那段预处理语句代码是非常标准且正确的：用占位符?代替了用户输入的变量，通过bind_param绑定参数，完美避免了SQL注入的可能，这就是处理用户输入查询的正确姿势。

迁移旧代码的建议 #

在把PHP5/MySQL代码迁移到PHP7/mysqli时，你可以逐个检查每个查询：

• 如果查询里有来自外部的变量（用户输入、动态生成的值等）：把它改成预处理语句的形式
• 如果是全静态的查询：可以保留原写法（当然你也可以统一改成预处理，不过从效率和必要性来说，完全没必要）

内容的提问来源于stack exchange，提问作者obcbeatle