翻页参数不能直接拼进SQL的LIMIT子句，因为LIMIT后的数字是语法组成部分而非数据值，预处理语句不保护SQL结构；正确做法是用intval()转整型、白名单校验范围与排序字段，并拼接已验证的整数和字符串。
翻页参数为什么不能直接拼进SQL的LIMIT子句
因为 LIMIT 后面的数字是语法组成部分，不是“值”，预处理语句只保护占位符位置上的数据值，不保护SQL结构本身。你写 $stmt = $pdo->prepare("SELECT * FROM posts LIMIT ?")，然后 execute([$_GET['limit']])，PHP会报错或行为异常——MySQL不允许在 LIMIT 里用问号占位符（除非用整数绑定且驱动支持，但不可靠）。
正确做法：用intval()强制转整型 + 白名单校验范围
翻页常用的 OFFSET 和 LIMIT 必须由PHP层做类型和范围控制，再拼入SQL字符串。这不是妥协，而是必须：
-
$_GET['page']和$_GET['per_page']都要用intval()转成整数，丢弃任何非数字字符 - 设置合理上限，比如
max_per_page = 100，避免恶意请求拖垮数据库 - 计算
$offset = max(0, ($page - 1) * $per_page)，防止负数或超大偏移 - 最终拼SQL时只拼整数：
"SELECT * FROM posts ORDER BY id DESC LIMIT {$limit} OFFSET {$offset}"
ORDER BY字段名必须白名单校验，不能用占位符
用户可能通过URL传 sort=name&order=ASC 控制排序，但 ORDER BY ? 是非法语法，ORDER BY :field 也会被当成字符串字面量而非列名。所以：
- 定义允许的字段白名单：
$allowed_sorts = ['id', 'title', 'created_at'] - 用
in_array($_GET['sort'], $allowed_sorts, true)校验，不匹配就 fallback 到默认字段 - 排序方向也需白名单：
$_GET['order'] === 'DESC' ? 'DESC' : 'ASC'，不能直接拼$_GET['order'] - 拼接时用
"ORDER BY {$safe_sort} {$safe_order}"，确保整个片段来自可信来源
完整翻页查询示例（含安全边界）
下面是一个实际可用的PDO翻页片段，重点看变量如何从用户输入→校验→拼接：
立即学习“PHP免费学习笔记（深入）”；
$page = intval($_GET['page'] ?? 1);
$per_page = intval($_GET['per_page'] ?? 20);
$per_page = min($per_page, 100); // 强制上限
$page = max($page, 1);
<p>$offset = ($page - 1) * $per_page;</p><p>// 白名单校验排序字段和方向
$allowed_sorts = ['id', 'title', 'created_at'];
$sort = in_array($_GET['sort'] ?? 'id', $allowed_sorts, true) ? $_GET['sort'] : 'id';
$order = ($_GET['order'] ?? 'DESC') === 'ASC' ? 'ASC' : 'DESC';</p><p>// 拼接SQL（注意：这里拼的是已校验的整数和白名单字符串）
$sql = "SELECT id, title, content FROM posts WHERE status = ? ORDER BY {$sort} {$order} LIMIT {$per_page} OFFSET {$offset}";
$stmt = $pdo->prepare($sql);
$stmt->execute([1]); // status = 1 是安全的固定值，走占位符
$posts = $stmt->fetchAll();
真正容易被忽略的点是：LIMIT 和 ORDER BY 这类结构化参数，既不能靠预处理保护，也不能靠过滤函数兜底，唯一可靠方式是“收口+校验+限制”，而不是试图让占位符覆盖一切。
