MySQL预处理语句无法工作，如何为参数添加单引号？

我尝试使用Prepared Statements从usrs表中查询数据，但当前方法无法正常工作。代码如下：

$sql = "SELECT * FROM `usrs` WHERE `username` = ? ";
$statement = $this->conn->prepare($sql);
if (!statement) {
    throw new Exception($statement->error);
}
$statement->bind_param("s",$username);
$returnValue = $statement->execute();
return $returnValue;

我期望的SQL格式应为：

$sql = "SELECT * FROM `usrs` WHERE `username` = 'username' ";

但上述代码并未在参数username两侧添加单引号' '。若直接使用：

$sql = "SELECT * FROM `usrs` WHERE `username` = username "

同样无法正常执行。请问该如何实现为参数添加单引号的需求？

别担心，这其实是对Prepared Statements工作原理的一个常见误解！

首先，你不需要手动给参数添加单引号——Prepared Statements会自动帮你处理参数的转义和引号包裹，这也是它能防范SQL注入的核心优势之一。你的代码没能正常工作，是因为存在几个小错误：

1. 变量名拼写错误 #

在判断预编译是否成功的语句里，你写的是!statement，但正确的变量名应该是!$statement（少了美元符号）。这会导致代码直接抛出未定义变量的异常，根本没走到绑定参数和执行查询的步骤。

另外，当prepare()失败时，$statement会返回false，这时调用$statement->error会报错，应该改用$this->conn->error来获取数据库连接的错误信息。

2. 仅返回执行状态，未获取查询结果 #

execute()方法返回的只是布尔值（表示执行是否成功），如果你需要获取查询到的用户数据，还需要调用get_result()或bind_result()来提取结果集。

修正后的完整代码 #

$sql = "SELECT * FROM `usrs` WHERE `username` = ? ";
$statement = $this->conn->prepare($sql);

// 修正变量名，改用连接对象获取错误信息
if (!$statement) {
    throw new Exception($this->conn->error);
}

// 绑定字符串类型参数
$statement->bind_param("s", $username);
$executionSuccess = $statement->execute();

// 若执行成功，获取结果集
if ($executionSuccess) {
    $result = $statement->get_result();
    // 获取单条用户数据（如果需要多条可以用fetch_all()）
    $userData = $result->fetch_assoc();
    return $userData;
} else {
    throw new Exception($statement->error);
}

为什么看不到带单引号的SQL？ #

当使用Prepared Statements时，SQL模板和参数是分开发送到数据库服务器的：

1. 先发送带有占位符?的SQL模板，数据库完成预编译
2. 再单独发送参数值，数据库会安全地将参数填充到模板中，自动处理引号、转义等问题

所以你永远不会在PHP代码里看到拼接好的带单引号的SQL字符串，但数据库会正确解析参数，这比手动拼接字符串安全得多。

内容的提问来源于stack exchange，提问作者Ahmed