PDO安全核心是正确使用预处理语句实现SQL与数据物理分离，必须关闭模拟预处理、禁用错误回显、最小化数据库权限，并注意字符集、LIKE转义等细节。
PHP PDO 安全机制的核心考点，集中在如何用对、用好预处理语句防止SQL注入，同时兼顾错误处理、权限控制和配置安全。不是“用了PDO就自动安全”，而是考察你是否理解其安全机制的触发条件和常见误用。
预处理语句（Prepared Statements）是防注入的基石
面试官常会追问：为什么PDO预处理能防注入？关键不在“参数绑定”这个动作本身，而在SQL语义与数据的物理分离——数据库在解析阶段只认SQL结构，变量值在执行阶段才代入，且不参与语法解析。
- ✅ 正确写法（命名参数或问号占位）：
$stmt = $pdo->prepare("SELECT * FROM user WHERE id = :id AND status = ?");<br>$stmt->execute([":id" => $uid, $status]); - ❌ 危险写法（字符串拼接+bindParam）：
$sql = "SELECT * FROM user WHERE id = " . $_GET['id']; // 即使后面bind也晚了<br>$stmt = $pdo->prepare($sql); // SQL结构已被污染
- ⚠️ 注意：PDO默认开启
PDO::ATTR_EMULATE_PREPARES = true（模拟预处理），此时仍可能被绕过；生产环境必须显式关闭：$pdo->setAttribute(PDO::ATTR_EMULATE_PREPARES, false);
错误信息与调试配置不能暴露敏感细节
安全机制不仅防攻击，也防信息泄露。PDO抛出异常时若直接显示SQL或数据库结构，等于给攻击者递地图。
- 禁用错误回显：
$pdo->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);
配合 try-catch 捕获，但绝不 echo $e->getMessage()，只记录日志 - PHP层面同步关闭：
display_errors = Off（php.ini）或运行时ini_set('display_errors', '0'); - 连接DSN中避免明文密码：
推荐从环境变量或配置文件读取，而非硬编码在代码里：$dsn = "mysql:host=localhost;dbname=test;charset=utf8mb4";<br>$pdo = new PDO($dsn, $_ENV['DB_USER'], $_ENV['DB_PASS']);
权限最小化 + 数据库层加固是PDO无法替代的
PDO再安全，也不能弥补数据库账号权限过大或系统配置疏漏的问题。这是高阶考点，体现架构意识。
立即学习“PHP免费学习笔记（深入）”；
- 应用连接数据库的账号，应仅授予所需表的
SELECT/INSERT/UPDATE权限，禁用 DROP、CREATE、ALTER、FILE、PROCESS 等高危权限 - 禁用远程访问（除非必要）：
MySQL中执行：REVOKE SUPER ON *.* FROM 'app_user'@'%';<br>FLUSH PRIVILEGES;
- 强制使用UTF-8 MB4字符集：
DSN中加;charset=utf8mb4，并确保表字段也是utf8mb4_unicode_ci，避免宽字节注入变种
其他易被忽略的安全细节
这些点虽小，却是区分“会用PDO”和“懂PDO安全”的分水岭。
- 不要依赖 addslashes() 或 mysql_real_escape_string()（已废弃）——它们针对的是旧式函数，对PDO预处理无意义，反而可能造成双重转义
-
LIKE 查询需手动转义通配符：
用户输入用于WHERE name LIKE '%?%'时，? 中的%、_会被当作通配符，应先用addcslashes($input, '%_\')，再在SQL中指定 ESCAPE - 批量操作慎用 execute() 传数组：若数组来自用户输入，需逐项校验类型与范围，避免整数型ID被传入字符串导致隐式转换漏洞
