PHP中必须用PDO预处理防SQL注入并提升效率，因其将SQL结构与数据分离，通过?或:name占位符绑定参数，配合bindParam/bindValue/bindColumn及错误模式设置确保安全与可控。
PHP 中使用 PDO 预处理语句，核心就两点：防 SQL 注入 + 提升重复执行效率。关键不在写法多复杂，而在理解参数绑定逻辑、错误处理方式和常见陷阱。
为什么必须用预处理，而不是拼接 SQL？
直接拼接变量进 SQL 字符串（比如 "SELECT * FROM user WHERE id = $id"）极危险——用户输入恶意内容（如 1 OR 1=1 --）会直接改写查询逻辑。PDO 预处理把 SQL 结构和数据彻底分离：数据库先编译带占位符的语句（如 SELECT * FROM user WHERE id = ?），再安全地填入参数，无论参数含什么特殊字符都不会触发语法解析。
两种占位符怎么选：? 还是 :name？
两者功能一致，选哪个看可读性和维护习惯：
-
问号占位符（?）：位置式绑定，按顺序传参，适合简单查询。
例如：$stmt = $pdo->prepare("INSERT INTO post(title, content) VALUES (?, ?)");<br>$stmt->execute([$title, $content]); -
命名占位符（:name）：键名式绑定，参数可乱序、可复用，适合复杂语句。
例如：$stmt = $pdo->prepare("SELECT * FROM user WHERE status = :status AND created_at > :since");<br>$stmt->execute([':status' => 'active', ':since' => '2024-01-01']);
绑定参数不是只有 execute() 一种方式
execute() 最常用，但灵活场景需更细控制：
立即学习“PHP免费学习笔记（深入）”；
- 用
bindParam()绑定变量引用——适合循环中反复执行同一语句，值由变量动态改变； - 用
bindValue()绑定具体值——适合一次性传值，或传 null、布尔等非字符串类型（PDO 默认把所有值当字符串，bindValue 可显式指定类型，如PDO::PARAM_INT）； - 查询结果字段也支持绑定：
bindColumn()可将结果列直接映射到变量，减少 fetch 后赋值步骤。
别忘了开启错误模式和检查执行结果
PDO 默认出错静默失败，必须主动配置才能捕获问题：
- 创建 PDO 实例时加选项：
new PDO($dsn, $user, $pass, [PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION])； - 预处理可能失败（如 SQL 语法错），
prepare()返回 false 或抛异常，要判断； - execute() 成功只代表语句执行完成，不等于有数据——用
$stmt->rowCount()查影响行数，用fetch()或fetchAll()拿结果前确认是否为空。
不复杂但容易忽略。写对一次，后续所有参数都自动受保护，比每次手动过滤更可靠也更省心。
