命名占位符配合PDO预处理是唯一可靠解法，必须用关联数组绑定且键名严格匹配（含冒号），辅以filter_input过滤和三项PDO初始化配置，才能彻底防范SQL注入。
在 PHP 项目中向 MySQL 插入用户注册信息时，若直接拼接 $_POST 数据进 SQL 字符串，攻击者输入 ' OR '1'='1 就能绕过验证、写入恶意记录甚至拖库——命名占位符配合 PDO 预处理是唯一可靠解法，它强制将数据与 SQL 结构分离，让输入永远只被当作值处理。
命名占位符必须配关联数组，否则报 HY093 错误
第一步：写 SQL 语句时用 :字段名 格式声明占位符，冒号不能漏，也不能写成 @字段名 或 $字段名。
第二步：调用 execute() 时传入的必须是关联数组，且键名要带冒号，例如 [':email' => $email]。
第三步：键名必须与 SQL 中的占位符**逐字完全一致**，大小写敏感，多一个空格都会失败。
第四步：不要用 $_POST['email'] 直接传参，先过滤再绑定，比如用 filter_input(INPUT_POST, 'email', FILTER_SANITIZE_EMAIL) 去掉非法字符。
【键名漏冒号或大小写错位，PDO 就找不到对应参数，立刻抛出 SQLSTATE[HY093]】
问号占位符适合简单查询，但顺序错一位就全乱
方法一：SQL 里全用 ? 占位，execute() 传索引数组，顺序必须和 ? 出现位置严格对齐。
方法二：用 bindValue() 单独绑定每个位置，支持指定类型，比如 $stmt->bindValue(1, $id, PDO::PARAM_INT) 可防字符串注入 ID 字段。
方法三：别混用——SQL 里用了 ?，就绝不能在 execute() 里传 [':id' => 123]，那样 PDO 会完全忽略这个键。
立即学习“PHP免费学习笔记（深入）”；
三项 PDO 初始化配置缺一不可
连接数据库时，必须显式设置：
• PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION：让错误立刻中断，不静默吞掉异常；
• PDO::ATTR_EMULATE_PREPARES => false：禁用 PHP 层模拟预处理，确保 SQL 真正在 MySQL 服务端编译；
• PDO::ATTR_DEFAULT_FETCH_MODE => PDO::FETCH_ASSOC：默认返回关联数组，避免 fetch() 后还要手动转键名。
这三项不设全，哪怕 SQL 写得再规范，也可能被绕过防护。
命名参数天然防错位，复杂场景首选
当插入字段超过 5 个，或 WHERE 条件动态增减时，问号方式极易因数组下标偏移导致 status 被插进 created_at 字段。
命名参数则完全规避这个问题：哪怕你把 ':name' 和 ':email' 在数组里调换顺序，PDO 仍按名字匹配到对应占位符。
这一步操作起来很简单，直接把字段名加冒号当数组键就行，不用数第几个问号。
【只要键名拼写正确，顺序、缺失、重复都不会引发数据错位】
类型绑定进一步加固数值与布尔字段
对主键、价格、开关状态等字段，用 bindValue() 显式声明类型：
• $stmt->bindValue(':price', $price, PDO::PARAM_STR) 强制当字符串（防科学计数法解析）；
• $stmt->bindValue(':is_active', $active, PDO::PARAM_BOOL) 把 1/0 自动转 true/false；
• $stmt->bindValue(':id', $id, PDO::PARAM_INT) 拒绝非整数输入，连 "123abc" 都会被截断或报错。
数字型字段不加类型绑定，攻击者可能传入 123.45e6 触发意外计算。
