PHP 8.1 中 PDO 安全连接 MySQL 的关键在于：用户名密码须为字符串变量而非裸常量，options 参数必须是数组不可加引号，DSN 必须显式指定 charset=utf8mb4，且需规避 opcache.preload 导致的环境变量为空问题。
PHP 8.1 中用 PDO 安全连接 MySQL，关键不是“能不能”，而是“怎么避免把密码当常量、把选项数组转成字符串、把错误模式设成静默”——这三个点踩中任意一个，连接就可能失败或带隐患。
用户名和密码必须是字符串或变量，不能裸写
这是 PHP 8.1 下最常触发的警告+致命错误组合。如果你写成 new PDO($dsn, username, password)，PHP 会报 Warning: Use of undefined constant username，然后把字面量 'username' 当用户名传给 MySQL，最终抛出 PDOException: SQLSTATE[HY000] [1045] Access denied。
- ✅ 正确做法：用引号包裹，或提前赋值为变量
- ❌ 错误写法：
new PDO('mysql:host=localhost;dbname=test', username, password) - ✅ 推荐写法：
$pdo = new PDO($dsn, $username, $password, $options)，其中$username和$password是已定义的字符串变量 - ⚠️ 注意：PHP 8.2+ 已将未定义常量警告升级为
Error，PHP 8.1 虽仍为Warning，但行为一致——它真会把你写的username当字符串'username'用
options 参数必须是数组，不能加引号
在类中封装连接时，容易把 $options 数组错写成 "$options"（双引号包裹），PHP 会强制转成字符串 "Array"，导致 Fatal error: Argument #4 ($options) must be of type ?array, string given。
- ✅ 正确传参：
new PDO($dsn, $user, $pass, $options)，$options是原生数组 - ❌ 错误示例：
new PDO($dsn, $user, $pass, "$options")—— 双引号触发热转换 - ✅ 典型安全配置：
$options = [PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION, PDO::ATTR_DEFAULT_FETCH_MODE => PDO::FETCH_ASSOC, PDO::ATTR_EMULATE_PREPARES => false] - ?
PDO::ATTR_EMULATE_PREPARES => false在 PHP 8.1 + MySQL 8.0 环境下尤其重要，否则某些参数类型（如TIMESTAMP）可能被错误解析
DSN 里必须显式声明 charset=utf8mb4
不加 charset=utf8mb4 不仅可能存不了 emoji 或生僻汉字，还会让 PDO::prepare() 在某些场景下退化为模拟预处理（即使你设了 ATTR_EMULATE_PREPARES => false），削弱防注入能力。
立即学习“PHP免费学习笔记（深入）”；
- ✅ 正确 DSN：
"mysql:host=localhost;dbname=mydb;charset=utf8mb4" - ❌ 危险写法：
"mysql:host=localhost;dbname=mydb"（依赖 MySQL 服务端默认字符集，不可靠） - ⚠️ 注意：不要用
SET NAMES utf8mb4替代 DSN 中的 charset —— 它无法保证连接初始化阶段的字符集一致性，且在 PHP 8.1 的严格模式下更易出问题 - ? 如果连接后执行
SHOW VARIABLES LIKE 'character_set%'发现character_set_client不是utf8mb4，说明 DSN 没生效
真正容易被忽略的点是：PHP 8.1 默认开启 opcache.preload 时，如果数据库配置文件被 preload 加载，而其中的 $username 或 $password 是通过 getenv() 动态读取的，那它们在 preload 阶段就为空——连接会直接失败。这种错误不会报凭据错误，而是报 Connection refused 或空 PDOException，排查成本很高。
