PHP 8.3 预处理防注入需关闭 PDO 模拟预处理（PDO::ATTR_EMULATE_PREPARES => false）、严守占位符规则、白名单校验动态结构、显式设置 utf8mb4 字符集，否则仍可能被绕过。
PHP 8.3 中预处理语句本身没变，但默认行为更严格——只要用对姿势，PDO 或 mysqli 都能真正防注入；错一步，比如开着模拟预处理或漏掉占位符，就白忙活。
必须关掉 PDO 的模拟预处理（PDO::ATTR_EMULATE_PREPARES => false）
PHP 8.3 默认仍启用模拟预处理（即在 PHP 层“假装”预处理，实际还是拼接字符串），这会让 prepare() 形同虚设。攻击者仍可通过宽字节、多语句等绕过。
- 连接时必须显式关闭：
$pdo = new PDO($dsn, $user, $pass, [PDO::ATTR_EMULATE_PREPARES => false, PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION]); - 不关这个选项，哪怕你写了
:name占位符，PDO 也可能把$_POST['name']拼进 SQL 字符串再发给 MySQL - 验证是否生效：执行
$pdo->getAttribute(PDO::ATTR_EMULATE_PREPARES)，返回false才算成功
所有用户输入必须进占位符，不能出现在 SQL 字符串里
预处理只保「值」的安全，不保「结构」。表名、列名、ORDER BY、LIMIT 偏移量这些动态部分，无法用占位符，必须白名单校验。
- ❌ 错误写法：
"SELECT * FROM {$_GET['table']} WHERE id = ?"—— 表名拼接，直接崩 - ✅ 正确做法：
$allowed_tables = ['users', 'posts']; $table = in_array($_GET['table'], $allowed_tables) ? $_GET['table'] : 'users'; $sql = "SELECT * FROM `$table` WHERE id = ?"; - LIKE 查询要手动加通配符：
$search = "%{$_POST['q']}%"; $stmt->execute([$search]);，不能写成WHERE name LIKE ?% - 数字型参数也得走占位符，别用
(int)后拼字符串："WHERE status = " . (int)$_GET['status']是无效防护
mysqli 绑定参数必须传变量引用，且类型字符串严丝合缝
mysqli_stmt::bind_param() 在 PHP 8.3 下对变量存在性、引用、类型标识更敏感，出错常静默失败（比如值变 0 或空字符串），不报错也不提示。
立即学习“PHP免费学习笔记（深入）”；
- 类型字符串如
"is"必须和后续变量数量、顺序、类型完全一致；少一个、字母错一个（比如把s写成i），绑定就失效 - 变量必须是真实存在的、已赋值的变量，不能是表达式：
bind_param("s", $_GET['email'] . '@example.com')会报 Warning 并跳过绑定 - 必须传引用：
bind_param("s", $email)，不是bind_param("s", $_GET['email'])；所以得先赋值：$email = $_GET['email']; $stmt->bind_param("s", $email); - 整数字段别用
s强转字符串，否则可能被截断或比较异常；该用i就用i
字符集必须显式声明为 utf8mb4，且与数据库一致
MySQL 宽字节注入在 PHP 8.3 + MySQL 8.x 环境下仍有复现可能，根源常是连接层字符集没对齐，导致 mysqli_real_escape_string() 类函数失效——而你根本没用它，但模拟预处理或旧驱动可能暗中依赖。
- DSN 中必须带
charset=utf8mb4：mysql:host=localhost;dbname=test;charset=utf8mb4 - mysqli 连接后应立刻调用：
$mysqli->set_charset('utf8mb4'); - 数据库、表、字段的默认字符集也得是
utf8mb4_unicode_ci或类似，否则客户端声明了也没用 - 不统一字符集，某些 emoji 或特殊符号输入可能触发意外截断或编码错位，间接破坏预处理边界
最易被忽略的是：预处理只解决「数据怎么进」，不解决「结构怎么建」。动态 SQL 片段（排序方向、分页 offset、字段列表）永远要走白名单或强类型转换，不能指望占位符兜底——这点在 PHP 8.3 里没任何松动。
