プリペアドステートメントとは？

プリペアドステートメントは、実際の値の代わりにパラメーターのプレースホルダーを置いた状態で、データベースが一度だけ解析・プランニングする SQL コマンドです。アプリケーションはその後、それらのプレースホルダーに異なる値をバインドすることで何度も実行します。値がクエリ本文とは別にバインドされるため、プリペアドステートメントは SQL インジェクションを防ぎます。

なぜ重要か

事前コンパイルされたプランを再利用することで、繰り返されるクエリの解析作業を節約し、パラメーターのバインドがインジェクション攻撃を封じます。これは動的な SQL を実行する標準的で安全な方法です。

関連ガイド