查不到数据时，可通过PDO::debugDumpParams()（需开启PDO::ATTR_EMULATE_PREPARES）或MySQL general_log抓取真实SQL；敏感信息须脱敏处理，避免泄露。
查不到数据时，怎么看到PHP实际执行的SQL？
直接 echo 或 var_dump 查询对象本身没用，PDO 和 MySQLi 都不把拼好的 SQL 暴露给开发者。得从底层或调试层抓取。
常见错误现象：PDOStatement::execute() 返回 true 但 fetch() 拿不到数据，或者 WHERE 条件看似正确却查空——这时候你根本不知道 PHP 到底发了什么 SQL 给数据库。
- 用
PDO::quote()手动拼接字符串再 echo，仅适用于简单场景，且容易漏掉类型转换（比如null变成'NULL'） - 开启 PDO 的
PDO::ATTR_EMULATE_PREPARES = true后，debugDumpParams()才能显示参数绑定后的完整 SQL（否则只显示带问号的模板） - MySQLi 不提供等价方法，必须自己模拟：把
$stmt->get_result()前的$sql字符串 +vsprintf()替换参数（注意转义逻辑要和 MySQLi 内部一致）
使用 PDO::debugDumpParams() 输出带值的 SQL
这是最接近“真实 SQL”的原生方式，但有硬性前提：预处理必须由 PDO 模拟（而非 MySQL 服务端），否则参数不会被替换进语句。
实操建议：
立即学习“PHP免费学习笔记（深入）”；
- 创建 PDO 实例时显式关闭服务端预处理：
$pdo = new PDO($dsn, $user, $pass, [PDO::ATTR_EMULATE_PREPARES => true]); - 执行
$stmt = $pdo->prepare("SELECT * FROM user WHERE id = ? AND status = ?");后，调用$stmt->debugDumpParams();，输出类似：SQL: [47] SELECT * FROM user WHERE id = ? AND status = ?<br>Params: 2<br>Key: Position #0:<br>paramno=0<br>name=[0] ""<br>is_param=1<br>param_type=1<br>Key: Position #1:<br>paramno=1<br>name=[0] ""<br>is_param=1<br>param_type=1
—— 这还不是最终 SQL - 真正要看到带值的 SQL，得在
execute()后立刻调用debugDumpParams()，且传入具体参数数组：$stmt->execute([123, 'active']); $stmt->debugDumpParams();，此时才会显示已替换参数的语句（PDO 内部模拟拼接）
绕过驱动限制：用 MySQL 的 general_log 抓原始请求
当 PDO 设置为 ATTR_EMULATE_PREPARES => false（默认生产环境配置），或你用的是原生 mysqli_query()，debugDumpParams() 就失效了。这时只能靠数据库日志。
操作步骤（需有 MySQL 管理权限）：
- 临时开启全局日志：
SET GLOBAL general_log = 'ON'; SET GLOBAL general_log_file = '/tmp/mysql-general.log'; - 在 PHP 中执行查询后，立刻去读日志文件：
tail -f /tmp/mysql-general.log，能看到形如Connect root@localhost on testdb<br>Query SELECT * FROM user WHERE id = 123 AND status = 'active'
的原始请求 - ⚠️ 注意：general_log 会记录所有连接和查询，包括其他应用，且文件增长极快；用完务必关掉：
SET GLOBAL general_log = 'OFF';
封装一个安全的 SQL 日志函数（避免敏感信息泄露）
直接打印带密码、token、手机号的 SQL 到页面或日志，线上等于裸奔。必须过滤。
关键点：
- 不要用
print_r($sql)了事，要识别并掩码常见敏感字段，比如匹配/password|passwd|token|auth|phone|mobile/i - 对参数值做选择性脱敏：字符串截断前 4 位 +
***，数字保留最后 4 位，null和布尔值保持原样 - 示例片段：
$safe_sql = preg_replace_callback('/(\'[^\']*\')/', function($m) { $val = trim($m[1], "'"); return strlen($val) > 8 ? "'" . substr($val, 0, 4) . "***'" : $m[1]; }, $raw_sql); - 开发环境可写入
error_log($safe_sql, 3, '/tmp/php-sql-debug.log')，别往浏览器输出
真实项目里，SQL 构造逻辑分散在 DAO、Query Builder、Eloquent 多个层级，最可靠的调试点往往不在 query() 调用处，而在 PDOStatement 或 mysqli_stmt 实例真正 bind 和 execute 的那一行——那里才是 SQL 成形的最后一刻。
