使用PDO预处理语句可彻底杜绝SQL注入：一、命名占位符绑定法；二、问号占位符数组传参法；三、动态子句白名单校验法；四、事务内批量预处理法；五、强制真预处理配置法。
如果您在搭建PHP网站时直接拼接用户输入构造SQL查询，则数据库极易遭受恶意SQL代码注入攻击。以下是使用PDO预处理语句彻底杜绝SQL注入风险的多种实践方式：
一、PDO命名占位符绑定法
该方法通过命名参数（如:username）明确标识变量位置，使SQL结构与数据彻底分离，数据库驱动自动完成类型绑定与转义，确保用户输入仅作为值参与执行，不参与语法解析。
1、建立PDO连接并启用异常模式：必须设置PDO::ATTR_ERRMODE为PDO::ERRMODE_EXCEPTION。
2、编写含命名占位符的SQL语句，例如"SELECT * FROM users WHERE email = :email AND status = :status"。
立即学习“PHP免费学习笔记（深入）”；
3、调用prepare()方法生成PDOStatement对象。
4、使用bindValue()或bindParam()分别绑定值或变量引用，例如$stmt->bindValue(':email', $_POST['email'], PDO::PARAM_STR)。
5、执行查询：$stmt->execute()，随后用fetch()或fetchAll()获取结果。
二、PDO问号占位符数组传参法
该方式采用位置式问号占位符(?)，配合execute()接收索引数组，语法简洁且避免命名冲突，适合简单查询场景；其安全性依赖于占位符与参数的严格顺序对应，不支持字段名或表名动态化。
1、创建PDO连接实例，确保PDO::ATTR_EMULATE_PREPARES保持默认false以启用真实预处理。
2、编写含问号占位符的SQL语句，例如"INSERT INTO logs (ip, action, timestamp) VALUES (?, ?, ?)"。
3、调用prepare()准备语句。
4、调用execute()并传入按顺序排列的参数数组，例如$stmt->execute([$_SERVER['REMOTE_ADDR'], 'login', date('Y-m-d H:i:s')])。
5、检查返回值确认执行成功：execute()返回布尔值，需显式判断。
三、PDO动态子句白名单校验法
当SQL中存在无法用占位符替代的动态部分（如ORDER BY字段、表名、LIMIT偏移量），必须通过白名单机制严格限制取值范围，杜绝拼接风险；白名单校验是唯一可接受的动态结构控制手段。
1、预先定义合法值数组，例如$allowed_sorts = ['id', 'name', 'created_at']; $allowed_orders = ['ASC', 'DESC'];。
2、从用户输入提取待拼接字段，例如$sort_field = $_GET['sort'] ?? 'id'; $sort_order = strtoupper($_GET['order'] ?? 'ASC');。
3、使用in_array()校验输入是否在白名单内：校验失败必须立即终止脚本或抛出异常。
4、仅在校验通过后，将白名单值拼接到SQL字符串中，例如"ORDER BY {$sort_field} {$sort_order}"。
5、将最终SQL交由prepare()处理，其余参数仍使用占位符绑定。
四、PDO事务内批量预处理法
在需要原子性保障的多条写操作中，将多个预处理语句包裹于同一事务内执行，既保证数据一致性，又维持每条语句的参数化防护能力；事务本身不提供注入防护，但可防止因部分失败导致的状态不一致放大攻击面。
1、开启事务：$pdo->beginTransaction()。
2、对每条SQL分别调用prepare()，例如$stmt1 = $pdo->prepare("INSERT INTO orders (...) VALUES (?, ?, ?)")和$stmt2 = $pdo->prepare("UPDATE inventory SET stock = stock - ? WHERE id = ?")。
3、依次绑定并执行各语句，例如$stmt1->execute([$uid, $pid, $qty])和$stmt2->execute([$qty, $pid])。
4、全部成功后提交事务：$pdo->commit()。
5、任一语句失败则回滚：$pdo->rollback()，并确保错误被异常捕获而非静默忽略。
五、PDO连接配置强制真预处理法
PDO默认启用模拟预处理（PDO::ATTR_EMULATE_PREPARES = true），此时PHP层自行替换占位符，等同于字符串拼接，在宽字节或字符集错配场景下极易被绕过；必须显式禁用模拟，强制交由数据库服务端编译预处理语句模板。
1、初始化PDO时显式设置属性：PDO::ATTR_EMULATE_PREPARES => false。
2、同时设置PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION，确保错误不被静默吞没。
3、DSN中显式声明字符集：mysql:host=localhost;dbname=test;charset=utf8mb4。
4、连接建立后验证配置生效：var_dump($pdo->getAttribute(PDO::ATTR_EMULATE_PREPARES))应返回false。
5、若返回true，说明模拟预处理仍在运行，所有prepare()调用均未产生实际防护效果。
