phpMyAdmin不支持真正的预处理语句，仅能通过用户变量（如SET @var:=1; SELECT ... @var）或前端JS字符串替换模拟，存在SQL注入风险，且变量不跨请求持久化。
phpmyadmin 本身不支持真正的预处理语句执行，所谓“带变量的动态sql”只能靠手动拼接或利用其内置的“替换变量”功能模拟，且存在 sql 注入风险——别当它是 mysql 客户端用。
phpMyAdmin 里根本没 PREPARE/EXECUTE 界面
你点开任何查询窗口，输入 PREPARE stmt FROM 'SELECT ?';，会直接报错 You have an error in your SQL syntax。phpMyAdmin 的 SQL 执行层是直连 MySQL 的简单 query() 调用，不维护会话级预处理状态，也不解析占位符 ? 或命名参数 :id。
- 它不保存
stmt变量，下一行执行EXECUTE stmt必然失败 - 所有“参数化”都是前端 JS 做的字符串替换（比如点击“+ WHERE”条件时填的值），不是服务端预处理
- 如果你在“SQL”标签页里粘贴含
SET @var := 1;+ 后续引用@var的多语句，部分版本可能只执行第一句（取决于 MySQL 配置和 phpMyAdmin 版本）
想模拟变量效果，只能用用户变量 + 单条语句拼接
MySQL 支持会话级用户变量（@var），phpMyAdmin 能识别并传递，但必须写在同一查询框、用分号分隔，且不能跨 Tab 或刷新——变量生命周期仅限当前连接的一次提交。
- 正确写法：
SET @user_id := 123;<br>SELECT * FROM users WHERE id = @user_id;
- 错误写法：把
SET和SELECT分两次提交 → 第二次时@user_id已丢失 - 注意：phpMyAdmin 默认关闭多语句执行（
mysqli.multi_query），若看到Multiple statements not allowed错误，需确认服务器配置或改用单语句（如子查询或内联变量赋值：SELECT * FROM users WHERE id = (@user_id := 123)）
别碰“SQL 替换”功能，它只是前端文本替换
phpMyAdmin 7.0+ 在 SQL 查询框右上角有“替换”按钮（图标像两个箭头），点开能填 {id} 这类模板变量——但它**完全在浏览器里做字符串 replace()**，不经过任何服务端校验，也不转义。
- 你填
{id}=1 OR 1=1，它就原样拼进 SQL，直接触发注入 - 它不区分数字/字符串上下文，不会自动加引号：
WHERE name = '{name}'中若填O'Reilly，结果变成WHERE name = 'O'Reilly'（语法错误） - 该功能只适合临时测试固定值，千万别用于含用户输入的场景
真正需要预处理，就得离开 phpMyAdmin：用 PHP 的 PDO::prepare() 或 mysqli::prepare()，或者换 DBeaver、MySQL Workbench 这类支持会话状态的客户端。phpMyAdmin 的定位是数据库管理（建表、导出、权限），不是安全的 SQL 开发环境——变量那块，它连“模拟”都只是表面功夫。
立即学习“PHP免费学习笔记（深入）”；
