A grande vantagem dos prepared statements é a seguinte:
A query precisa ser analizada (parsed) ou preparada apenas uma vez, mas pode ser executada múltiplas vezes com os mesmos ou diferentes parâmetros. Quando a query é preparada, o banco de dados vai analizar, compilar e otimizar o seu plano para a execução da query. Para queries complexas, este processo pode consumir tempo suficiente para tornar a aplicação visivelmente mais lenta se houver a necessidade de repetir a mesma query muitas vezes com diferentes parâmetros. Usando um comando pre-preparado (prepared statement) a aplicação evita a repetição do ciclo de análise/compilação/otimização. Isso significa que comandos pré-preparados usam menos recursos e portanto executam mais rápido.
Os parâmetros de comandos pré-preparados (prepared statements) não precisam estar entre apóstrofos (ou "aspas simples" ou "aspas"), o driver vai tratar isso automaticamente. Se uma aplicação usa exclusivamente comandos pré-preparados, o desenvolvedor pode ter certeza de que não ocorrerá SQL Injection (entretanto, se outras partes da query estiver sendo construída através de entradas não tratadas, ainda estará sujeita a SQL Injection).
Fonte: http://php.net/manual/en/pdo.prepared-statements.php
Na prática, o que muda é exatamente o que você postou nos exemplos acima. Quando você roda a query com query()
, você pode estar extraindo o resultado usando menos linhas de código mas não se aproveita um recurso do MySQL que é exatamente o que diz a citação.
Já usando a função prepare()
, você só "amarra" (bind()
) os argumentos e executa uma query que, provavelmente, já rodou um milhão de vezes no seu servidor. O MySQL sabe qual é o melhor plano de execução para a consulta e a reaproveita toda vez que a query for todada novamente, agilizando sua aplicação.