Skip to main content
2 de 2
Traduzido o trecho citado.
Caffé
  • 18,2mil
  • 1
  • 39
  • 82

A grande vantagem dos prepared statements é a seguinte:

  • A query precisa ser analizada (parsed) ou preparada apenas uma vez, mas pode ser executada múltiplas vezes com os mesmos ou diferentes parâmetros. Quando a query é preparada, o banco de dados vai analizar, compilar e otimizar o seu plano para a execução da query. Para queries complexas, este processo pode consumir tempo suficiente para tornar a aplicação visivelmente mais lenta se houver a necessidade de repetir a mesma query muitas vezes com diferentes parâmetros. Usando um comando pre-preparado (prepared statement) a aplicação evita a repetição do ciclo de análise/compilação/otimização. Isso significa que comandos pré-preparados usam menos recursos e portanto executam mais rápido.

  • Os parâmetros de comandos pré-preparados (prepared statements) não precisam estar entre apóstrofos (ou "aspas simples" ou "aspas"), o driver vai tratar isso automaticamente. Se uma aplicação usa exclusivamente comandos pré-preparados, o desenvolvedor pode ter certeza de que não ocorrerá SQL Injection (entretanto, se outras partes da query estiver sendo construída através de entradas não tratadas, ainda estará sujeita a SQL Injection).

Fonte: http://php.net/manual/en/pdo.prepared-statements.php

Na prática, o que muda é exatamente o que você postou nos exemplos acima. Quando você roda a query com query(), você pode estar extraindo o resultado usando menos linhas de código mas não se aproveita um recurso do MySQL que é exatamente o que diz a citação.

Já usando a função prepare(), você só "amarra" (bind()) os argumentos e executa uma query que, provavelmente, já rodou um milhão de vezes no seu servidor. O MySQL sabe qual é o melhor plano de execução para a consulta e a reaproveita toda vez que a query for todada novamente, agilizando sua aplicação.

Rodrigo Rigotti
  • 12,4mil
  • 3
  • 32
  • 52