PDO::prepare() 不能拼接变量以防 SQL 注入，必须用 ? 或 :name 占位符；bindValue() 传值、bindParam() 传引用，多数情况选前者；命名占位符存在兼容性问题，位置占位符更可靠。
为什么 PDO::prepare() 不能直接拼接变量
因为拼接字符串进 SQL 是 SQL 注入的温床，PDO::prepare() 的设计目标就是切断变量和 SQL 结构的耦合。它不是“先拼再执行”，而是让数据库提前编译语句结构，把参数留成占位符，运行时只传数据、不重解析语法。
常见错误现象：PDO::prepare("SELECT * FROM user WHERE id = $id") —— 这根本没走预处理，只是普通字符串插值，$id 任何内容都会直通 SQL，哪怕写成 $id = "1 OR 1=1" 也能绕过验证。
- 必须用
?（位置占位符）或:name（命名占位符），不能用"{$id}"或.$id. - 绑定动作必须在
execute()前完成，不能在prepare()后直接query() - 如果 SQL 里有单引号、反斜杠等特殊字符，别想着自己
addslashes()，交给bindValue()或bindParam()处理
bindValue() 和 bindParam() 到底该选哪个
核心区别：前者传值（copy），后者传引用（reference）。绝大多数场景用 bindValue() 就够了；只有循环复用同一语句、且每次参数变量本身会变（比如循环中反复赋值的 $value），才需要 bindParam()。
容易踩的坑：bindParam() 绑的是变量名，不是当前值。如果绑定后修改了该变量，再 execute()，数据库收到的就是新值——这在循环里容易误触发意外覆盖。
立即学习“PHP免费学习笔记（深入）”；
- 查单条记录、插入固定字段：用
bindValue()，安全直观 - 批量插入数组，每个元素单独
execute()：仍用bindValue()，别图省事绑一个变量再改值 - 真要循环复用 + 参数变量被复用：确认变量生命周期可控，否则宁可多调一次
bindValue()
foreach ($data as $row) {
$stmt->bindValue(':name', $row['name']);
$stmt->bindValue(':age', $row['age']);
$stmt->execute(); // 每次都传新值，干净
}命名占位符 :name 和位置占位符 ? 的兼容性陷阱
命名占位符看着清晰，但部分旧版 MySQL 驱动（尤其 Windows 下的 mysqlnd 早期版本）对重复使用同一名字支持不稳；而 ? 虽然无名，却绝对可靠，且 PDO 内部处理更轻量。
使用场景决定选择：如果你的 SQL 里同一个参数出现多次（比如 WHERE a > ? AND b ），用 <code>? 就得传两次值；而 WHERE a > :val AND b 只需绑定一次——这时命名占位符才有实际价值。
- 简单 CRUD、参数不重复：优先用
?，减少驱动层歧义 - SQL 中某参数出现 ≥2 次，或语句特别长、难对齐位置：用
:name，但确保 PDO 驱动版本 ≥5.6 - 别混用：一条
prepare()里同时出现?和:name会报错SQLSTATE[HY093]
预处理不是银弹：哪些情况它反而拖慢性能
PDO 预处理本质是“编译一次、执行多次”，但如果语句只执行一次，还额外多了 prepare → bind → execute 三步调用，比直接 query() 多一次网络往返（尤其启用了 PDO::ATTR_EMULATE_PREPARES = false 时）。
更隐蔽的问题：MySQL 服务端预处理句柄会占用资源，大量不同语句频繁 prepare() 不释放，可能触发 max_prepared_stmt_count 限制，报错 SQLSTATE[HY000]: General error: 1461 Can't create more than max_prepared_stmt_count statements。
- 高频单次查询（如日志写入、临时统计）：关掉模拟预处理（
ATTR_EMULATE_PREPARES = false）反而更慢，不如用query()+ 手动过滤 - 长期运行的 CLI 脚本：记得在循环外
prepare()，循环内只execute()，避免反复创建句柄 - Web 请求中，PDO 实例通常随请求结束自动清理，但若手动
prepare()后忘了$stmt = null，PHP 引用计数延迟释放可能让句柄撑到超限
真正关键的不是“用了没”，而是“是否复用”和“是否释放”。预处理的价值藏在语句结构稳定、参数变化频繁、执行次数多这三个条件同时满足时。
