117笔记问答MySQL预编译语句的方法主要有两种：使用预处理语句和使用存储过程。
- 使用预处理语句（Prepared Statements）：预处理语句是在应用程序和数据库之间执行的一种机制，它将SQL查询语句与参数分离，首先发送预处理语句给数据库，然后再发送参数。这种方法可以防止SQL注入攻击，因为参数的值不会被直接拼接到查询语句中，而是通过占位符的方式传递给数据库。参数的值会被数据库进行处理和转义，从而有效地防止注入攻击。
例如，在PHP中，使用预处理语句的示例代码如下所示：
// 创建预处理语句
$stmt = $pdo->prepare('SELECT * FROM users WHERE username = :username');
// 绑定参数
$stmt->bindParam(':username', $username);
// 执行查询
$stmt->execute();
// 获取结果
$result = $stmt->fetchAll(PDO::FETCH_ASSOC);
在上面的示例中，通过使用冒号（:）作为占位符，将参数:username绑定到预处理语句中。这样可以确保查询语句和参数的值分开，并且参数的值会被正确处理和转义。
- 使用存储过程（Stored Procedures）：存储过程是一组预编译的SQL语句，它们在数据库中存储并可以被应用程序调用。存储过程可以接受参数，并且在执行过程中对参数进行处理和转义，从而防止SQL注入攻击。通过调用存储过程执行SQL查询，可以减少直接拼接SQL语句的风险。
例如，在MySQL中，创建一个存储过程的示例代码如下所示：
CREATE PROCEDURE getUser(IN username VARCHAR(255)) BEGIN SELECT * FROM users WHERE username = username; END;
在上面的示例中，通过将参数username作为存储过程的输入参数，并在执行过程中使用该参数进行查询，可以避免直接拼接SQL语句的风险。存储过程会在执行过程中对参数的值进行处理和转义，从而防止注入攻击。