Использование параметров для замены имен mysql для подготовленного оператора

Question

Я добавляю временную таблицу, которая содержит список имен файлов, которые будет использоваться вторым запросом. Я понимаю, что имена файлов могут использоваться для SQL-инъекций, поэтому я хочу использовать подготовленные операторы.

упрощенная версия моего рабочего запроса выглядит следующим образом (например, там может быть 50 имен файлов):

CREATE TEMPORARY TABLE tempfile(filename varchar(100)); 
INSERT INTO tempfile (filename) 
    SELECT filename FROM (
     SELECT 'myfile.jpg' AS filename UNION SELECT "myfile2.jpg") xx; 

Я пытался заменить его:

CREATE TEMPORARY TABLE tempfile(filename varchar(100)); 
INSERT INTO tempfile (filename) 
    SELECT filename FROM (
     SELECT ? AS filename UNION SELECT ?) xx; 

Но mysql дает мне синтаксис ошибка. Любые идеи, как использовать параметры с этим запросом?

И если вы можете дать мне лучшее название для этого сообщения, я его изменю.

ОБНОВЛЕНИЕ - Примечание

Этот запрос будет вставлять две записи. Вы можете запросить их:

SELECT tf.filename FROM tempfile 

Answer 1

попробовать что-то вроде этого:

INSERT INTO tempfile (filename) 
VALUES 
(?),(?),(?); 

Answer 2

Я преобразования multi_query в подготовленное заявление и каждое заявление необходимо работать с отдельной подготовки и выполнения. Простой и очевидный.