mysql预编译避免注入的有哪些方法

MySQL预编译语句的方法主要有两种：使用预处理语句和使用存储进程。

1. 使用预处理语句（Prepared Statements）：预处理语句是在利用程序和数据库之间履行的一种机制，它将SQL查询语句与参数分离，首先发送预处理语句给数据库，然后再发送参数。这类方法可以避免SQL注入攻击，由于参数的值不会被直接拼接到查询语句中，而是通过占位符的方式传递给数据库。参数的值会被数据库进行处理和转义，从而有效地避免注入攻击。

例如，在PHP中，使用预处理语句的示例代码以下所示：

// 创建预处理语句
$stmt = $pdo->prepare('SELECT * FROM users WHERE username = :username');
// 绑定参数
$stmt->bindParam(':username', $username);
// 履行查询
$stmt->execute();
// 获得结果
$result = $stmt->fetchAll(PDO::FETCH_ASSOC);

在上面的示例中，通过使用冒号（:）作为占位符，将参数:username绑定到预处理语句中。这样可以确保查询语句和参数的值分开，并且参数的值会被正确处理和转义。

1. 使用存储进程（Stored Procedures）：存储进程是一组预编译的SQL语句，它们在数据库中存储并可以被利用程序调用。存储进程可以接受参数，并且在履行进程中对参数进行处理和转义，从而避免SQL注入攻击。通过调用存储进程履行SQL查询，可以减少直接拼接SQL语句的风险。

例如，在MySQL中，创建一个存储进程的示例代码以下所示：

CREATE PROCEDURE getUser(IN username VARCHAR(255))
BEGIN
SELECT * FROM users WHERE username = username;
END;

在上面的示例中，通过将参数username作为存储进程的输入参数，并在履行进程中使用该参数进行查询，可以免直接拼接SQL语句的风险。存储进程会在履行进程中对参数的值进行处理和转义，从而避免注入攻击。