Как использовать '?' в SQL запросе

Question

Предположим, у меня есть этот запрос:

SELECT * FROM 'users' WHERE (username = 'foo' OR email = 'bar') 

Как бы сделать так, что запрос использует? вместо передачи значений напрямую. например.

SELECT * FROM 'users' WHERE (username = ? OR email = ? ... 

И, если это возможно, введите указанные в предложениях WHERE().

EDIT: Я где-то читал об этом, используя? метки в запросах улучшают производительность и помогают с помощью SQL-инъекций. Это то, что я пытаюсь сделать здесь.

Answer 1

В MySQL символ вопроса, который вы можете найти в вашем запросе, называется заполнитель параметров. Он обычно используется, когда вы создаете оператор Prepare (динамический sql). ех,

SET @s = 'SELECT SQRT(POW(?,2) + POW(?,2)) AS hypotenuse'; 
PREPARE stmt2 FROM @s; 
SET @a = 6; 
SET @b = 8; 
EXECUTE stmt2 USING @a, @b; 

• SQL Syntax for Prepared Statements
• PostgreSQL PREPARE

UPDATE 1

вот пример выбора на основе данных выше,

SET @s = 'SELECT * FROM tableName WHERE username = ? and email = ?'; 
PREPARE stmt2 FROM @s; 
SET @a = 'foo'; 
SET @b = 'bar'; 
EXECUTE stmt2 USING @a, @b; 

• SQLFiddle Demo