该错误源于直接拼接 sql 字符串导致数值中的逗号被误解析为字段分隔符；正确做法是使用预处理语句（pdo 参数绑定），彻底分离 sql 结构与数据内容。
该错误源于直接拼接 sql 字符串导致数值中的逗号被误解析为字段分隔符；正确做法是使用预处理语句（pdo 参数绑定），彻底分离 sql 结构与数据内容。
在 PHP 中使用 PDO 执行 INSERT 操作时，若将变量直接拼接到 SQL 字符串中（即字符串插值），极易引发 SQLSTATE[21S01]: Insert value list does not match column list 错误。根本原因并非列名或数量写错，而是用户数据中包含的字符（如逗号、引号、空格甚至 NULL 字节）破坏了 SQL 语法结构。
从错误堆栈可见实际传入参数为：
insert_data('48,755359214191', '20,443338532373...', '278e8f10-c667-4...', '2023-12-02 20:0...')对应生成的非法 SQL 实际等价于：
INSERT INTO data(humidity, temperature, log_time, sensor_id) VALUES (48,755359214191, 20,443338532373, '2023-12-02 20:0...', '278e8f10-c667-4...'); -- ↑ ↑ ↑ -- 6 个值！但只声明了 4 列 → 触发 1136 错误
此处 48,755... 和 20,443... 中的英文逗号被 MySQL 当作 VALUES 子句的字段分隔符，导致解析出 6 个值，而目标表仅定义了 4 个非自增列（id 为 AUTO_INCREMENT，未显式插入），因此报错。
✅ 正确解决方案：始终使用预处理语句 + 参数绑定
修改 insert_data() 函数如下：
function insert_data($humidity, $temperature, $sensor_id, $log_time) {
$conn = db_connect();
// ✅ 使用占位符 ?，完全避免字符串拼接
$sql = "INSERT INTO data (humidity, temperature, log_time, sensor_id)
VALUES (?, ?, ?, ?)";
$statement = $conn->prepare($sql);
// ✅ execute() 的参数数组严格按顺序绑定，类型自动适配
$ok = $statement->execute([$humidity, $temperature, $log_time, $sensor_id]);
$conn = null;
return $ok;
}? 关键优势：
- 安全：天然防御 SQL 注入（即使 $sensor_id 是 '1'; DROP TABLE data; -- 也不会执行）；
- 健壮：自动处理逗号、单引号、换行符、二进制数据等任意内容；
- 高效：预编译语句可复用，提升性能；
- 清晰：逻辑与数据分离，代码可读性与可维护性显著增强。
⚠️ 注意事项：
- 不要对占位符加引号（如 '?','?' 是错误的），PDO 会根据参数类型自动处理转义；
- 确保 db_connect() 返回的 PDO 实例已设置 PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION，以便异常可捕获；
- 若字段含 NULL 值，直接传入 PHP null 即可，PDO 会正确映射；
- 表结构中 id 为 AUTO_INCREMENT，故无需在 INSERT 中指定，否则需显式添加 id 占位符并传入 NULL 或 0（取决于 strict mode）。
总结：永远不要拼接 SQL 字符串——这是数据库编程中最基础也最关键的防御原则。使用 ? 占位符 + execute($params) 是解决本问题的唯一推荐方式，同时一并消除 SQL 注入风险。
