PHP开发者必须用PDO扩展安全操作数据库，需禁用错误暴露、使用utf8mb4字符集、设置异常模式、关闭模拟预处理、从环境变量读取凭证，并通过命名/问号占位符或bindParam绑定参数防注入，SELECT结果须判空并转义输出，写操作必须参数化，事务需try-catch包裹并严格预处理。
PHP开发者必须用PDO扩展安全操作数据库，避免用户输入被当作SQL代码执行导致数据泄露或篡改，直接拼接字符串的写法在2026年已属于高危操作。
建立安全的PDO连接
第一步是创建PDO实例并禁用错误信息暴露——生产环境若让数据库连接失败提示直接显示在页面上，攻击者能轻易获取主机名、数据库名等敏感路径信息。
用DSN字符串指定数据库类型、主机、库名和字符集，【必须使用utf8mb4而非utf8】，否则emoji和部分生僻字会存储异常或截断。
设置PDO::ATTR_ERRMODE为PDO::ERRMODE_EXCEPTION，让所有数据库异常抛出而非静默失败；同时关闭模拟预处理：$pdo->setAttribute(PDO::ATTR_EMULATE_PREPARES, false)，确保预处理由数据库服务器真实执行，不依赖PHP层模拟。
立即学习“PHP免费学习笔记（深入）”；
密码等凭证绝不能硬编码在脚本里，应从环境变量读取：$password = $_ENV['DB_PASSWORD'] ?? '';，缺失时连接直接中断，不降级 fallback。
用预处理语句执行查询
方法一：命名占位符（推荐）
写SQL时用:username、:email等具名占位符代替变量，可读性强，维护时无需数问号顺序。
调用prepare()传入含占位符的SQL字符串，再用execute()传入关联数组，如[':username' => $input, ':email' => $mail]——PDO自动将值作为纯数据绑定，【即使$username含单引号、分号或1=1都不会触发注入】。
方法二：问号占位符（适合简单场景）
SQL中用?占位，execute()接收索引数组：['张三', 'zhangsan@example.com']，顺序必须与问号一一对应，错一位就查不到数据或报错。
方法三：bindParam动态绑定（需类型强控时用）
当参数可能为空或需强制指定类型（如整型ID），用bindParam(':id', $id, PDO::PARAM_INT)，变量值在execute()时才读取，支持后续修改变量影响执行结果。
安全处理SELECT结果
第一步：用fetch()取单行，返回关联数组（PDO::FETCH_ASSOC）最常用，字段名作键，避免数字索引易混淆。
第二步：检查是否查到数据，if ($row = $stmt->fetch()) { ... }，不要跳过判空直接访问$row['name']，否则PHP报Notice。
第三步：批量结果用fetchAll()，别用query()直接执行SELECT——它绕过预处理，无法防注入。
第四步：输出到HTML前必须用htmlspecialchars($row['content'], ENT_QUOTES, 'UTF-8')，防止XSS，这步和PDO防注入无关但同等重要。
INSERT/UPDATE/DELETE的安全写法
所有写操作必须走prepare → execute流程，禁止拼接SQL。
插入后获取自增ID用$pdo->lastInsertId()，不要用SELECT MAX(id)——并发时会错乱。
更新多字段时，命名占位符更清晰：UPDATE users SET name = :name, email = :email WHERE id = :id，execute传[':name'=>$n, ':email'=>$e, ':id'=>$i]。
删除操作务必带WHERE条件，且条件字段也必须参数化，DELETE FROM logs WHERE level = ? → execute(['ERROR'])，绝不可写成"WHERE level = '$level'"。
事务与异常处理
涉及多条SQL必须原子执行时（如转账），用beginTransaction()开启事务。
执行完所有语句后调用commit()提交；任一环节出错，立刻rollback()回退，避免部分写入污染数据。
整个事务块必须包裹在try-catch中，捕获PDOException，记录错误日志后退出，不继续执行后续逻辑。
事务中每条SQL仍需预处理，不能因开了事务就放松参数绑定要求。
