绑定参数（Binding Parameters）

当使用带参数的 SQL 来创建数据库命令时， 你几乎总是应该使用绑定参数的方法来防止 SQL 注入攻击，例如：

$post = Yii::$app->db->createCommand('SELECT * FROM post WHERE id=:id AND status=:status')
           ->bindValue(':id', $_GET['id'])
           ->bindValue(':status', 1)
           ->queryOne();

在 SQL 语句中，你可以嵌入一个或多个参数占位符(例如，上述例子中的 :id )。 一个参数占位符应该是以冒号开头的字符串。