# 参数绑定 #### 什么是参数绑定 参数绑定就是绑定一个PHP变量到用作预处理的SQL语句中的对应命名占位符或问号占位符。可以有效的防止SQL注入。 注：**推荐无论何时尽量使用参数绑定的形式来构建SQL语句** #### 如何绑定参数 在系统中操作数据库的函数 （pdo\_fetch()、pdo\_fetchall()、pdo\_fetchcolumn()、pdo\_query()）需要开发人员手动绑定参数，以 pdo\_fetch() 函数为例： ``` $row = pdo_fetch("SELECT * FROM ".tablename('users')." WHERE username = :username", array(':username' => '米粥')); ``` - 上例中 :username 参数占位符，系统中只支持 :var 以冒号+变量名的占位符 - 第二个参数中 ':username' 对应的值，则为要传入的真正的值 ``` $row = pdo_fetch("SELECT * FROM ".tablename('users')." WHERE username LIKE :username", array(':username' => '%米%')); ``` - 上例中演示如何绑定Like查询 ``` $row = pdo_query("DELETE FROM ".tablename('users')." WHERE uid = :uid", array(':uid' => '1')); ```