在PHP开发中，使用MySQLi扩展操作数据库时，预处理语句是防范SQL注入的核心方案，它通过将SQL逻辑和参数分离，避免恶意输入篡改SQL结构。当需要多次执行同一条SQL逻辑时，直接重复创建预处理语句会造成资源浪费，正确的方式是复用已创建的预处理对象，同时保证参数绑定的安全性和执行流程的规范性。
MySQLi预处理语句基础
预处理语句的执行分为两个阶段，首先是准备阶段，将带占位符的SQL语句发送到数据库服务器进行编译，然后是执行阶段，绑定参数后触发执行。这种机制下，同一条SQL逻辑只需要编译一次，后续执行只需要传递不同的参数即可，既提升了效率，也保证了安全。
基础的单次执行预处理语句流程如下：
<?php
// 创建数据库连接
$mysqli = new mysqli("127.0.0.1", "db_user", "db_pass", "test_db");
// 检查连接是否成功
if ($mysqli->connect_error) {
die("数据库连接失败: " . $mysqli->connect_error);
}
// 准备带占位符的SQL语句，插入用户数据
$sql = "INSERT INTO users (name, age, email) VALUES (?, ?, ?)";
$stmt = $mysqli->prepare($sql);
if (!$stmt) {
die("预处理语句准备失败: " . $mysqli->error);
}
// 绑定参数，s代表字符串类型，i代表整数类型
$name = "张三";
$age = 25;
$email = "zhangsan@ipipp.com";
$stmt->bind_param("sis", $name, $age, $email);
// 执行语句
if ($stmt->execute()) {
echo "数据插入成功，影响行数: " . $stmt->affected_rows;
} else {
echo "执行失败: " . $stmt->error;
}
// 关闭预处理语句和连接
$stmt->close();
$mysqli->close();
?>
安全多次执行的核心要点
要实现安全的多次执行，需要遵循以下关键原则，避免出现参数混乱、内存泄漏或者执行错误的问题。
1. 仅准备一次预处理语句
不要在循环中重复调用prepare方法，应该在循环外完成预处理语句的创建和编译，循环内只做参数绑定和执行操作，这样能减少数据库服务器的编译开销，也避免重复创建对象带来的资源浪费。
2. 每次执行前重新绑定参数
虽然预处理对象可以复用，但每次执行前都需要确保参数变量被赋予正确的值，然后再调用bind_param或者重新绑定变量。如果使用同一个变量，修改其值后不需要重复调用bind_param，因为绑定的是变量的引用，修改后执行时会自动使用新值。
3. 执行后检查错误状态
每次执行后都需要判断execute方法的返回值，及时处理执行失败的情况，避免错误累积导致后续执行全部异常。同时可以通过affected_rows属性获取当前执行的影响行数，验证执行结果是否符合预期。
4. 及时释放结果集
如果执行的预处理语句是查询类语句，每次执行后需要调用free_result方法释放结果集占用的内存，避免多次执行后内存占用过高导致程序崩溃。
完整多次执行示例
以下示例展示如何安全地多次执行插入语句，批量插入用户数据，同时包含所有错误处理和内存管理逻辑：
<?php
// 初始化数据库连接
$mysqli = new mysqli("127.0.0.1", "db_user", "db_pass", "test_db");
if ($mysqli->connect_error) {
die("数据库连接失败: " . $mysqli->connect_error);
}
// 待插入的用户数据数组
$userList = [
["李四", 22, "lisi@ipipp.com"],
["王五", 28, "wangwu@ipipp.com"],
["赵六", 30, "zhaoliu@ipipp.com"]
];
// 准备预处理语句，仅执行一次
$sql = "INSERT INTO users (name, age, email) VALUES (?, ?, ?)";
$stmt = $mysqli->prepare($sql);
if (!$stmt) {
die("预处理语句准备失败: " . $mysqli->error);
}
// 绑定参数变量，这里绑定的是变量引用
$stmt->bind_param("sis", $name, $age, $email);
$successCount = 0;
$errorCount = 0;
// 循环执行预处理语句
foreach ($userList as $user) {
// 给参数变量赋值
$name = $user[0];
$age = $user[1];
$email = $user[2];
// 执行语句
if ($stmt->execute()) {
$successCount++;
echo "用户 {$name} 插入成功，影响行数: " . $stmt->affected_rows . "<br/>";
} else {
$errorCount++;
echo "用户 {$name} 插入失败: " . $stmt->error . "<br/>";
}
}
echo "批量插入完成，成功: {$successCount} 条，失败: {$errorCount} 条<br/>";
// 关闭预处理语句和数据库连接
$stmt->close();
$mysqli->close();
?>
常见错误与规避方法
- 错误：在循环内重复调用
prepare方法。规避：将prepare调用移到循环外部，仅准备一次。 - 错误：执行后不检查返回值，忽略执行失败的情况。规避：每次执行后判断
execute的返回值，记录错误信息。 - 错误：查询类语句执行后不释放结果集。规避：如果是
SELECT类语句，每次执行后调用$stmt->free_result()释放内存。 - 错误：参数类型绑定错误，比如整数类型用了
s标识。规避：严格按照参数实际类型绑定，i对应整数，d对应浮点数，s对应字符串，b对应二进制数据。
总结
在PHP中安全多次执行MySQLi预处理语句的核心是复用预处理对象，避免重复编译SQL，同时做好参数绑定、错误检查和内存管理。这种方式既能提升数据库操作的效率，也能有效防范SQL注入风险，是批量数据操作的推荐实现方案。开发者在实际使用时，需要根据执行语句的类型（插入、查询、更新等）调整对应的处理逻辑，保证程序的稳定性和安全性。