PDO 报错 SQLSTATE[HY093]: Invalid parameter number: parameter was not defined 通常源于预处理语句中的占位符与绑定参数不匹配，常见于混用命名参数（如 :name）和实际绑定时名称错误或缺失。本文详解该错误成因及正确写法。

pdo 报错 `sqlstate[hy093]: invalid parameter number: parameter was not defined` 通常源于预处理语句中的占位符与绑定参数不匹配，常见于混用命名参数（如 `:name`）和实际绑定时名称错误或缺失。本文详解该错误成因及正确写法。

该错误的核心在于 占位符声明与参数绑定严重不一致。在您的代码中，SQL 语句使用了命名占位符 :nouveaumdp1 和 :identifiantrecherche：

$sth = $dbco->prepare("UPDATE `utilisateurs` SET `motdepasse` = :nouveaumdp1 WHERE `identifiant` = :identifiantrecherche");

但后续却错误地绑定了完全不同的参数名：

$sth->bindParam(':identifiant', $identifiantrecherche, PDO::PARAM_STR);   // ❌ 错误：SQL 中无 :identifiant
$sth->bindParam(':motdepasse', $nouveaumdp1, PDO::PARAM_STR);            // ❌ 错误：SQL 中无 :motdepasse

PDO 严格校验：每个 bindParam() 的第一个参数（即键名）必须与 SQL 字符串中实际出现的命名占位符完全一致（包括拼写、大小写和冒号）。您声明了 :nouveaumdp1 和 :identifiantrecherche，却尝试绑定 :identifiant 和 :motdepasse —— 这直接触发 HY093 错误。

手把手教你写框架.pptx

手把手教你写框架课件

下载

✅ 正确做法有两种，推荐统一风格：

方案一：使用命名占位符（推荐，语义清晰）
确保绑定名与 SQL 中的占位符逐字一致：

$sth = $dbco->prepare("UPDATE `utilisateurs` SET `motdepasse` = :nouveaumdp1 WHERE `identifiant` = :identifiantrecherche");
$sth->bindParam(':nouveaumdp1', $nouveaumdp1, PDO::PARAM_STR);
$sth->bindParam(':identifiantrecherche', $identifiantrecherche, PDO::PARAM_STR);
$sth->execute();

方案二：使用问号占位符（简洁，避免命名歧义）
这是您最终采用且成功的方式，更简洁、不易出错：

$sth = $dbco->prepare("UPDATE `utilisateurs` SET `motdepasse` = ? WHERE `identifiant` = ?");
$sth->execute([$nouveaumdp1, $identifiantrecherche]); // ✅ 顺序必须与 ? 出现顺序严格对应

⚠️ 关键注意事项：

• 不要混用命名与位置占位符（如 :name = ?），PDO 不支持；
• 使用 bindParam() 时，变量需在 execute() 前保持有效（尤其循环中注意引用）；若仅执行一次，直接 execute([$val1, $val2]) 更安全；
• 密码字段应使用 password_hash() 加密存储，而非明文；当前逻辑中 $ancienmdp != $actuelmdp 是明文比对，存在严重安全隐患，务必改为 password_verify($ancienmdp, $actuelmdp)；
• 所有用户输入（如 $_POST、$_SESSION）必须视为不可信数据，虽已用预处理防注入，但仍需额外校验长度、格式等。

综上，HY093 并非数据库问题，而是 PDO 绑定契约被破坏的明确提示。坚持“声明即绑定”原则，统一占位符风格，并辅以密码安全实践，即可彻底规避此类错误。