PDO是PHP提供的数据库访问抽象层，统一接口不直接执行SQL，面试常考因其考察数据安全、异常处理、连接管理等核心工程能力。
PDO 是什么，为什么面试常考
PDO（PHP Data Objects）是 PHP 提供的一套数据库访问抽象层，不是具体数据库驱动，而是一个统一接口。它不直接执行 SQL，而是通过底层驱动（如 pdo_mysql、pdo_pgsql）与数据库通信。面试爱考，是因为它直击 PHP 工程师对数据安全、异常处理、连接管理、扩展性等核心能力的掌握程度——写个 mysql_query 谁都会，但能否写出健壮、可维护、防注入的数据库交互逻辑，才是分水岭。
连接与配置：别只写 new PDO() 就完事
基础连接只是起点，生产环境必须关注字符集、错误模式、持久连接等细节：
-
强制设置字符集：在 DSN 中加
;charset=utf8mb4，而不是靠后续 execute('SET NAMES') —— 后者有竞态风险； -
开启异常模式：
$pdo->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION)，让错误抛出异常而非静默失败或返回 false； -
慎用持久连接：设
PDO::ATTR_PERSISTENT => true可复用连接，但会带来事务残留、会话变量污染等问题，高并发下需配合连接池或严格控制生命周期； -
连接超时与重试：DSN 中可加
connect_timeout=5，但重试逻辑需业务层实现（PDO 本身不重试）。
预处理与参数绑定：防 SQL 注入的唯一正确姿势
面试必问“怎么防止注入”，答 “addslashes 或 str_replace” 直接出局。PDO 的安全根基在于语义分离：SQL 模板与数据彻底解耦。
- 用
prepare()+execute()替代拼接字符串，即使参数来自可信后台也应如此； - 支持命名参数（
:name）和问号占位（?），命名参数更易读、可复用、支持部分绑定； - 类型绑定可选但推荐：
$stmt->bindValue(':id', $id, PDO::PARAM_INT)，避免字符串隐式转换导致的意外行为； - 批量插入别硬写 N 个问号，用循环 prepare + execute，或构建单条多值 INSERT（注意驱动限制，MySQL 支持，SQLite 有限制）。
事务、错误与资源管理：体现工程素养的关键点
真实项目不是单条查询，而是多步协作。如何保证一致性、可观测性、不泄漏资源，是进阶分界线：
立即学习“PHP免费学习笔记（深入）”；
- 事务必须显式控制：
beginTransaction()→ 执行 →commit()或rollback()；嵌套事务需用保存点（SAVEPOINT）模拟； - 捕获 PDOException 时，检查
$e->getCode()（SQLSTATE）比只看 message 更可靠，例如 '23000' 表示完整性约束违规； - Statement 对象用完即释放（
$stmt = null），尤其在长生命周期脚本或循环中，避免句柄堆积； - 连接对象无需手动 close，PHP 销毁对象时自动关闭，但显式调用
$pdo = null在 CLI 脚本中可提前释放资源。
常见陷阱与面试高频题还原
这些点常被忽略，却是面试官判断你是否真用过 PDO 的试金石：
-
fetch() 返回 false 不等于没数据：当查询无结果时返回 false，但空结果集（如 WHERE 永假）也返回 false；正确做法是用
fetch()配合!== false判断，或优先用fetchAll()看数组长度； - bindParam 和 bindValue 的区别：前者绑定变量引用，执行时取当前值；后者绑定值快照，适合循环中复用同一 Statement；
-
PDO 默认不模拟预处理：MySQL 8.0+ 默认
PDO::ATTR_EMULATE_PREPARES => false，走原生预处理；旧版本或特殊场景开启后，PDO 自己解析 SQL，失去服务端预处理优势，且可能绕过某些类型检查； -
获取最后插入 ID：用
$pdo->lastInsertId()，不是$stmt->lastInsertId()—— Statement 没这方法。
不复杂但容易忽略。把连接配稳、参数绑牢、事务控住、异常看清，PDO 就从语法工具变成你手里可靠的数据库协作者。
