PDO 预处理语句的参数仅支持标量值（如字符串、数字），不支持表名、列名等 SQL 标识符，因为参数是在 SQL 解析之后才代入的，而表名必须在解析阶段就确定其存在性和语法合法性。
pdo 预处理语句的参数仅支持标量值（如字符串、数字），不支持表名、列名等 sql 标识符，因为参数是在 sql 解析**之后**才代入的，而表名必须在解析阶段就确定其存在性和语法合法性。
在 PDO 中，预处理语句的安全性核心在于“解析与执行分离”：prepare() 阶段，数据库对 SQL 语句进行完整语法分析和对象校验（例如检查 FROM users 中的 users 表是否存在）；execute() 阶段，才将参数值注入已编译的执行计划。而参数占位符（如 ? 或 :name）被数据库引擎严格视为运行时标量值——即它只能替代可直接写成字面量的位置，例如 WHERE id = ?（对应 WHERE id = 42）或 WHERE name = ?（对应 WHERE name = 'alice'）。
但表名不是标量值，而是 SQL 语法结构的一部分。尝试如下写法必然失败：
$stmt = $pdo->prepare("SELECT * FROM :table");
$stmt->execute(['table' => 'users']); // ❌ SQL 错误：语法错误或未知表原因在于：数据库在 prepare() 时会尝试解析 FROM :table，但 :table 并非合法的表标识符（就像你不能写 FROM 'users'），它无法通过语法验证——SQL 标准要求 FROM 后必须是明确的表/视图/子查询，而非一个待求值的表达式。
✅ 正确做法是：对表名等标识符，必须在拼接 SQL 字符串前进行白名单校验或严格过滤，而非依赖参数绑定：
// 安全示例：白名单控制
$allowedTables = ['users', 'posts', 'comments'];
if (!in_array($table_name, $allowedTables, true)) {
throw new InvalidArgumentException('Invalid table name');
}
$sql = "SELECT COUNT(1) FROM {$table_name}";
$stmt = $pdo->prepare($sql);
$stmt->execute();⚠️ 注意事项：
- 永远不要用 sprintf、字符串拼接或 addslashes() 处理用户输入的表名；
- PDO::ATTR_EMULATE_PREPARES = true（默认开启）会模拟预处理，但仍不会允许表名参数化，且可能削弱安全边界；
- 如需高度动态的表结构操作（如多租户分表），应结合应用层路由、元数据查询或数据库权限隔离来管控风险。
总结：PDO 参数机制的设计哲学是「参数 ≠ 占位符模板」，而是「类型安全的运行时常量注入」。理解这一底层原理，才能正确区分哪些内容可参数化（数据值），哪些必须由应用层严格校验（SQL 结构）。
