PDO 的真正门槛在于连接配置、错误响应、参数绑定边界和事务兜底逻辑四点：必须设ERRMODE为EXCEPTION、DSN含charset=utf8mb4、标识符禁绑定而需白名单校验、事务须try-catch+rollback。
PDO 不是“学完语法就能用好”的扩展，它真正的门槛不在写法，而在连接配置、错误响应、参数绑定边界和事务兜底逻辑这四点。跳过这些直接抄示例代码，十有八九会在生产环境踩坑。
连接时必须显式设 PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION
默认的静默模式（PDO::ERRMODE_SILENT）会让 query() 或 execute() 失败时只返回 false，不报错也不提示字段名错、表不存在、权限不足——你得自己去查 errorInfo()，但多数人根本不会查。
必须在 new PDO 后立刻设置：
$pdo = new PDO($dsn, $user, $pass); $pdo->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);
- 不设这个，
try-catch捕不到 SQL 错误，只捕得到连接失败 - 顺手加上
PDO::ATTR_DEFAULT_FETCH_MODE => PDO::FETCH_ASSOC，避免每次fetch()都要写参数 - DSN 中必须带
;charset=utf8mb4，否则中文存进去是乱码，且无法通过setCharset()补救
prepare() 绑定只接受值，不接受表名/字段名/ORDER BY
这是最常被误解的一点：预处理防注入 ≠ 所有动态部分都能绑定。PDO 只允许绑定数据值（比如 :id、?），不能绑定标识符（如 ORDER BY :sort_field 是非法的，会直接报错）。
- 用户可控的排序字段、表名、WHERE 条件字段，必须用白名单硬校验：
in_array($table, ['user', 'order', 'log'], true) - 拼接 SQL 字符串时，绝不用双引号包裹变量：
"SELECT * FROM $table"是高危操作 - 不确定类型时，统一用
bindValue(':param', $value, PDO::PARAM_STR)，比bindParam()更安全（后者传引用，循环中容易出错）
选 query() 还是 prepare()？看有没有外部输入
不是“一律用 prepare()”就安全，也不是“简单语句就用 query()”就省事。关键判断依据只有一个：SQL 里有没有来自用户、URL、POST、文件等不可信来源的数据。
立即学习“PHP免费学习笔记（深入）”；
- 纯内部固定查询（如
"SELECT version()"、"SHOW TABLES"）→ 用query()，轻量无开销 - 含 GET 参数、表单提交、API 请求体 → 必须走
prepare()+ 占位符 +execute() -
exec()只用于无结果集的语句（如INSERT、UPDATE、DROP），它返回影响行数，不返回PDOStatement
事务不是加个 beginTransaction() 就算完
事务漏掉 rollback() 或没包住全部操作，会导致数据不一致，而且问题往往延迟暴露。
- 必须用
try-catch包住整个事务块，catch中必须调$pdo->rollback() - 不要在事务里混用
query()和prepare()，更别在中间调用未受控的函数（比如发邮件、写日志文件），它们可能抛异常但没被 catch 到 - 事务内避免长耗时操作（如大文件读写、远程 API 调用），否则锁表时间过长，引发并发阻塞
真正卡住人的从来不是 prepare() 怎么写，而是错误没抛出来、绑定绕过了、事务没回滚、字符集从 DSN 里漏了——这些点不盯死，写一百个 CRUD 示例也挡不住线上报错时抓瞎。
