PHP安全调用MySQL存储过程需启用PDO异常模式、显式指定charset=utf8mb4，IN参数用bindValue绑定类型，OUT参数须通过@变量+二次SELECT获取，且必须用bindParam而非bindValue。
要在PHP中安全、稳定地调用MySQL存储过程并正确处理输入输出参数，必须绕过字符串拼接陷阱，显式声明参数类型，并严格区分IN/OUT/INOUT绑定逻辑。
建立连接并启用异常模式
使用PDO连接MySQL时，必须设置PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION，否则存储过程执行失败不会抛出异常，错误会被静默吞掉，调试时根本看不到哪一步崩了。
创建DSN字符串，包含host、dbname、charset和port（若非默认3306）；用户名密码直接传入构造函数。
【charset=utf8mb4必须显式指定】，否则中文或emoji在OUT参数返回时可能变成乱码或截断。
立即学习“PHP免费学习笔记（深入）”；
调用无参存储过程
直接prepare一条CALL proc_name()语句，execute后用fetchAll()取结果集。
注意：即使过程无参数，也绝不能用query()代替prepare→execute，否则无法兼容后续带参数的统一写法，且失去预处理层的安全保障。
调用含IN参数的存储过程
方法一：问号占位符 + bindValue（推荐用于单次执行）
① prepare语句写成CALL proc_with_in(?)；
② 调用bindValue(1, $value, PDO::PARAM_STR)——这里【必须显式指定PDO::PARAM_INT或PDO::PARAM_STR等类型】，否则整数会被当字符串传入，触发MySQL隐式转换，导致索引失效或比较错误；
③ execute()执行，再fetch结果。
方法二：命名占位符 + execute传数组（适合多参数、可读性优先）
prepare写成CALL proc_with_in(:name, :age)，execute传入[':name' => '张三', ':age' => 25]；
该方式无需单独bind，但类型仍默认为PARAM_STR，遇到数字字段务必改用bindValue+类型声明。
获取OUT参数值
MySQL本身不支持直接从CALL语句中返回OUT变量值，必须借助用户变量@var配合SELECT二次查询。
第一步：prepare语句为CALL proc_with_out(?, @out_result)，其中第一个?是IN参数，@out_result是用户变量名；
第二步：bindParam(1, $inValue, PDO::PARAM_STR)绑定输入；
第三步：execute()执行存储过程；
第四步：再prepare一条SELECT @out_result，execute后fetchColumn()拿到OUT值。
注意：两次prepare→execute必须复用同一个PDO连接对象，否则@out_result在新连接里为空。
同时处理IN和OUT参数
方法一（标准流程）：
① prepare语句写成CALL proc_in_out(?, @out_val)；
② bindParam(1, $inVal, PDO::PARAM_STR)绑定输入变量；
③ execute()；
④ 新建prepare(SELECT @out_val)并fetch。
方法二（MySQLi快捷路径，仅限MySQLi）：
用query()连续执行CALL proc_in_out('abc', @o); SELECT @o，靠分号分隔——但PDO不支持多语句，默认禁用，强行开启有注入风险，不推荐。
关键点：OUT参数绑定不能用bindValue，必须用bindParam，因为它的值是在execute之后才被MySQL写入@变量，bindValue传的是执行前的快照值，拿不到结果。
