php - SQL 语句中定义的值

Question

只是想知道在使用准备好的语句时人们对在 SQL 语句中定义值有何看法，例如：

$sql->query("SELECT * FROM ".TABLE_NAME." WHERE id = :id");
$sql->bind(':id', $id);

不是所有的代码，但你可以看到我在做什么。我应该绑定表名是我基本上要问的。

Answer 1

您不能将准备好的语句用于表名和列名。
我建议您在任何地方都使用准备好的语句，因为它可以抵抗 SQL 注入（您不必关心转义值）。
如果您多次运行它们，它们还可以提供性能优势。