如何在 php 中创建安全的 mysql 准备语句？

我是在 mysql 和 php 中使用准备好的语句的新手。我需要一些帮助来创建准备好的语句来检索列。

我需要从不同的列获取信息。目前对于测试文件，我使用完全不安全SQL语句：

$qry = "SELECT * FROM mytable where userid='{$_GET['userid']}' AND category='{$_GET['category']}'ORDER BY id DESC"
$result = mysql_query($qry) or die(mysql_error()); 

有人可以帮我创建一个securemysql语句使用从url参数输入（如上）是准备好的吗？

奖励：准备好的语句也应该可以提高速度。如果我在一个页面上只使用准备好的语句三到四次，是否会提高整体速度？

这是一个使用 mysqli 的示例（对象语法 - 如果您愿意，可以很容易地转换为函数语法）：

$db = new mysqli("host","user","pw","database");
$stmt = $db->prepare("SELECT * FROM mytable where userid=? AND category=? ORDER BY id DESC");
$stmt->bind_param('ii', intval($_GET['userid']), intval($_GET['category']));
$stmt->execute();

$stmt->store_result();
$stmt->bind_result($column1, $column2, $column3);

while($stmt->fetch())
{
    echo "col1=$column1, col2=$column2, col3=$column3 \n";
}

$stmt->close();

另外，如果您想要一种简单的方法来获取关联数组（与 SELECT * 一起使用），而不必准确指定要绑定到的变量，这里有一个方便的函数：

function stmt_bind_assoc (&$stmt, &$out) {
    $data = mysqli_stmt_result_metadata($stmt);
    $fields = array();
    $out = array();

    $fields[0] = $stmt;
    $count = 1;

    while($field = mysqli_fetch_field($data)) {
        $fields[$count] = &$out[$field->name];
        $count++;
    }
    call_user_func_array(mysqli_stmt_bind_result, $fields);
}

要使用它，只需调用它而不是调用bind_result：

$stmt->store_result();

$resultrow = array();
stmt_bind_assoc($stmt, $resultrow);

while($stmt->fetch())
{
    print_r($resultrow);
}