SQL 预编译（Prepared Statement）

一、什么是 SQL 预编译？

SQL 预编译（Prepared Statement，又叫预处理语句）指的是：

在执行 SQL 语句之前，先把 SQL 的结构交给数据库进行编译、优化，生成执行计划；之后执行时只需要传递参数，而不用重新解析和编译。

二、为什么会有预编译？

1. 性能优化

普通 SQL 流程：

1. 解析 SQL → 生成执行计划 → 执行 → 返回结果

2. 每次执行相同 SQL（哪怕参数不同）都要 重复解析和编译。

预编译 SQL 流程：

1. 第一次：解析 SQL 模板（带占位符的），生成执行计划并缓存。

2. 后续：只需要传入不同参数，直接复用执行计划 → 性能更高。

2. 防止 SQL 注入

如果用字符串拼接：

"SELECT * FROM users WHERE username = '" + userInput + "';"

若 userInput = "' OR 1=1 --"，就会被注入。而用预编译：

SELECT * FROM users WHERE username = ?

数据库会把 SQL 结构 和 参数 分开处理，参数不会当作 SQL 语句的一部分，从根本上避免注入。

3. 提升可维护性

• SQL 模板和参数分离，代码更清晰。

• 一条 SQL 可以重复使用，减少冗余。

三、预编译的作用总结

1. 性能提升：避免重复解析、编译，尤其在高并发、大量重复 SQL 的场景下。

2. 安全性增强：有效防止 SQL 注入。

3. 结构清晰：SQL 模板化，代码更易读、易维护。

四、常见实用场景

1. 批量插入

INSERT INTO users (name, age) VALUES (?, ?)

后续只换参数，一次性插入大量数据，减少 SQL 解析开销。

2. 高并发查询

例如登录验证：

SELECT * FROM users WHERE username=? AND password=?

每次用户登录只换参数，数据库执行效率更高。

3. 分页查询、条件过滤

同一个 SQL 模板，多次传不同参数：

SELECT * FROM products WHERE category=? LIMIT ?, ?

4. 防注入的 API / Web 项目

所有涉及用户输入的查询、更新，几乎都应该用预编译，例如：

UPDATE users SET password=? WHERE id=?

五、不同语言中的示例

Java（JDBC）

PreparedStatement ps = conn.prepareStatement("SELECT * FROM users WHERE id=?");
ps.setInt(1, 1001);
ResultSet rs = ps.executeQuery();

Node.js (MySQL2)

const [rows] = await conn.execute("SELECT * FROM users WHERE id = ?", [1001]);

Python (PyMySQL)

cursor.execute("SELECT * FROM users WHERE id=%s", (1001,))

✅ 总结：
SQL 预编译的本质是 把 SQL 语句模板化，让数据库提前编译执行计划，从而带来 性能优化 和 安全提升。它最常见的场景就是 高并发应用 和 涉及用户输入的查询/更新操作。