PDO通过预处理与参数绑定分离SQL结构和数据，彻底防止SQL注入；支持事务控制、多种结果获取策略及持久连接优化，保障安全、一致性和性能。
预处理语句与参数绑定：安全执行动态 SQL 的核心
PDO 的核心优势在于通过预处理（prepare）+ 绑定（bindParam / bindValue）机制彻底规避 SQL 注入。它不是简单拼接字符串，而是将 SQL 结构和数据分离：数据库先编译语句模板，再安全注入值。
关键细节：
- bindParam 绑定变量引用，适合循环复用同一语句（如批量插入），值在执行时才读取；
- bindValue 绑定具体值或字面量，适合一次性操作，更直观；
- 支持命名占位符（
:name）和问号占位符（?），命名方式可读性更强、顺序无关； - 类型指定（如
PDO::PARAM_INT）非必需但推荐，尤其对布尔、NULL 或特殊字段类型能避免隐式转换偏差。
事务控制与错误处理：保障数据一致性
真实业务中，多步操作常需原子性。PDO 支持标准事务流程，但必须关闭自动提交并主动管理回滚边界。
正确做法：
立即学习“PHP免费学习笔记（深入）”；
- 调用 $pdo->beginTransaction() 开启事务；
- 所有操作后显式调用 $pdo->commit() 提交，或出错时调用 $pdo->rollback()；
- 设置 PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION，让异常中断流程，避免静默失败；
- 在 try-catch 中包裹事务块，确保 rollback 不被遗漏；
- 注意：事务仅对支持事务的存储引擎（如 InnoDB）生效，MyISAM 无效。
获取结果的多种策略：按需选择效率模式
PDO 提供灵活的结果获取方式，不同场景应匹配合适方法，避免内存或性能浪费。
-
fetch()：单行，返回关联数组/索引数组/对象，默认
PDO::FETCH_ASSOC最常用； - fetchAll()：全量加载到内存，适合小数据集或需多次遍历；慎用于大数据，易 OOM；
- fetchColumn()：只取第一列首行值，查 COUNT、MAX 等标量结果最轻量；
- fetchObject()：映射为指定类实例，适合领域模型封装，可配合构造器初始化；
- 使用 setFetchMode() 统一设置默认取值格式，减少重复参数。
连接管理与长连接优化：兼顾稳定性与资源开销
PDO 连接本身不自动复用，但可通过配置启用持久连接，并结合合理的生命周期管理提升性能。
- 启用持久连接：在 DSN 后添加
;charset=utf8mb4并设置PDO::ATTR_PERSISTENT => true； - 持久连接不释放资源，可能积累未关闭事务或锁，务必在脚本结束前显式 commit/rollback；
- 避免在长生命周期服务（如 PHP-FPM 池）中滥用持久连接，连接数超限会阻塞新请求；
- 使用 PDO::ATTR_EMULATE_PREPARES => false 强制走原生预处理，提升安全性与部分复杂查询兼容性（如含变量 LIMIT）；
- 连接失败时，检查是否设置了超时（
PDO::ATTR_TIMEOUT）和重连逻辑，生产环境建议封装健壮的重试机制。
