PHP 7.0 中配置 PDO 预处理语句的关键是初始化连接时禁用模拟预处理（PDO::ATTR_EMULATE_PREPARES => false）、启用异常模式和默认获取模式，并使用命名占位符配合 execute() 传入关联数组，确保数据库端编译与执行隔离，而非依赖自动转义或输入清洗。
PHP 7.0 中配置 PDO 预处理语句，核心不是“单独配置预处理”，而是正确初始化 PDO 连接并启用真实预处理机制。关键在于连接选项、占位符使用方式和参数绑定逻辑，而非开关式设置。
确保 PDO 及驱动已启用
检查 php.ini 是否加载了基础扩展：
- 开启 extension=pdo
- 对应数据库驱动如 extension=pdo_mysql（MySQL）或 extension=pdo_pgsql（PostgreSQL）
- 重启 Web 服务器后，用 phpinfo() 确认 PDO 和驱动状态为 enabled
创建安全连接并启用真实预处理
必须显式禁用模拟预处理，否则 MySQL 驱动默认在 PHP 层做字符串拼接，无法彻底防注入：
- 设置 PDO::ATTR_EMULATE_PREPARES => false —— 强制数据库服务端编译
- 同时启用异常模式：PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION
- 推荐设默认获取模式：PDO::ATTR_DEFAULT_FETCH_MODE => PDO::FETCH_ASSOC
示例连接代码：
立即学习“PHP免费学习笔记（深入）”；
$dsn = 'mysql:host=localhost;dbname=testdb;charset=utf8mb4';
$options = [
PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION,
PDO::ATTR_DEFAULT_FETCH_MODE => PDO::FETCH_ASSOC,
PDO::ATTR_EMULATE_PREPARES => false, // 关键！
];
$pdo = new PDO($dsn, $user, $pass, $options);
使用命名占位符编写预处理语句
避免问号（?）位置错乱，提升可维护性与安全性：
- SQL 中用 :name、:email 等命名占位符
- prepare() 传入含占位符的 SQL 字符串
- execute() 直接传入关联数组，键名严格匹配占位符
例如登录验证：
$stmt = $pdo->prepare("SELECT id, name FROM users WHERE email = :email AND status = :status");
$stmt->execute([':email' => $_POST['email'], ':status' => 1]);
$user = $stmt->fetch();
不推荐依赖的“自动转义”误区
PDO 不会自动过滤或清理用户输入内容本身；它的安全来自执行机制隔离，不是内容清洗：
- 不要以为用了预处理就可跳过输入校验（如邮箱格式、长度限制）
- 敏感操作仍需业务层逻辑判断（如密码是否已哈希、权限是否匹配）
- 若需绑定明确类型（如整数 ID），可用 bindParam(':id', $id, PDO::PARAM_INT)
