Php 从mysql更改为mysqli标准过程准备语句？

我正在编辑一个关于内联编辑的教程。它使用mysql，但显然我想使用mysqli，因为mysql已经贬值了。我改变了大部分，但有一部分给我带来了困难。有一个单独的文件被调用以连接到数据库并运行查询，因此我将在我声明的页面顶部声明主页

require_once("dbcontroller.php");
$db_handle = new DBController();
$sql = "SELECT * from php_interview_questions";
$faq = $db_handle->runQuery($sql);

dbcontroller.php的相关部分是：

function runQuery($query) {
        $result = mysqli_query($conn, $query);
        while($row=mysqli_fetch_assoc($result)) {
            $resultset[] = $row;
        }       
        if(!empty($resultset))
            return $resultset;
    }

    function numRows($query) {
        $result  = mysqli_query($conn,$query);
        $rowcount = mysqli_num_rows($result);
        return $rowcount;   
    }

我是否认为我需要使用事先准备好的陈述？如果是这样的话，这将如何处理可能涉及WHERE子句中任意数量的列或任意数量的条件的select查询？

numRows（）是一个奇怪的函数，因为它运行查询只是为了找出返回的行数。我认为这是一个值得怀疑的做法。如果需要确定SELECT将返回多少行，则可以将SELECT*更改为SELECT COUNT（*）。MySQL将能够为MyISAM表优化这一点，另外还可以节省不必将结果集传输到客户端的时间

---

否则就不需要使用prepared语句，因为prepared语句只会增加DBMS在语句只执行一次时所需的工作量（它必须处理两个请求——prepare、execute，而不是一个——execute，以及在连接被破坏时清理缓存语句的额外工作）

您显示的语句不需要准备好的语句，因为

WHERE

子句中没有用户输入。关于结束语：如果您需要添加数量可变的筛选子句，只需使用字符串操作来构建它们，然后在绑定调用中添加正确数量的参数。我只是想知道为什么您认为您需要准备好的语句？@Patrick我知道他想使用准备好的语句。。。他实际上运行了一个方法来处理所有与查询相关的事情。也就是说，如果他将使用where条款，则该条款应与准备好的声明一起使用……@MikeM。当然，关于为什么使用准备好的语句的一般原因是显而易见的，我只是想知道OP是否理解为什么像哈尔弗所说的那样，数据绑定就足够了。似乎没有特定的理由将预处理语句用于任何其他安全方法，请参见相关内容：