bindParam一次只能绑定一个参数，需分开调用；正确用法是传入索引（从1开始）和变量引用；函数返回值不可直接绑定，须先赋值变量；execute()传数组更简洁但不适用于复用语句场景；务必设置PDO::ERRMODE_EXCEPTION防静默失败；命名占位符须严格匹配冒号及大小写。
bindParam 不能一次绑定多个参数
最常见的误用是把多个变量一股脑传给 bindParam，比如写成 $stmt->bindParam($name, $username, $password)。这会直接报错或静默失败——bindParam 只接受两个参数：位置索引（或名称）和变量引用，每次只能绑一个。
正确做法是分开调用，且注意顺序和类型：
- 位置占位符：索引从
1开始，不是0 - 必须传变量名（不是值），因为要建立引用关系，后续修改变量会影响绑定结果
- 如果变量是临时计算的（如
password_hash(...)），得先赋值再绑定，否则绑定的是空或旧值
execute() 传数组比 bindParam 更简洁但有前提
多数注册/插入场景更适合用 execute() 直接传值数组，例如 $stmt->execute([$name, $username, $password])。它不依赖引用，也不用关心顺序索引，写起来干净。
但要注意几个限制：
立即学习“PHP免费学习笔记（深入）”；
- 数组元素必须和 SQL 占位符一一对应，多一个少一个都会报错或数据错位
- 不能用于「复用语句 + 多次不同参数」的场景（比如循环插入），因为每次
execute()都是全新绑定 - 如果某个参数是
NULL或布尔值，PDO 默认会转成整数（false → 0），必要时需显式转换或用bindValue
没开异常模式导致错误被吞掉
PDO 默认是静默模式：ATTR_ERRMODE 设为 PDO::ERRMODE_SILENT。SQL 写错、字段不存在、约束冲突……全都不抛异常，execute() 返回 false，但没人检查，注册就“无声失败”了。
必须在连接后立即设置：
$pdo->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);
否则你永远不知道是用户输错了，还是数据库连不上，还是字段长度超了。
命名占位符拼错名字或漏冒号
用命名占位符（如 :username）看着清晰，但很容易手抖漏掉冒号，写成 username，或者绑定时名字不一致：
- SQL 里写的是
:user_name，bindValue(':username', $v)就完全不生效 - 名字里有空格、短横线、大写字母，都可能因大小写敏感或解析失败导致绑定失败（PostgreSQL 对命名更严格）
- 别混用位置和命名占位符——PDO 不允许一条语句里两种混用
最稳妥的方式是统一用位置占位符，或全程用 IDE 支持命名补全的编辑器。
密码哈希后直接 bindParam 会出问题
很多人把 password_hash() 的结果直接塞进 bindParam()，比如：
$stmt->bindParam(3, password_hash($_POST['password'], PASSWORD_DEFAULT));
这会报错：bindParam 要求第二个参数是变量（可写引用），而函数返回值是右值，无法引用。
必须先存到变量里再绑定：
$hashed = password_hash($_POST['password'], PASSWORD_DEFAULT);<br>$stmt->bindParam(3, $hashed);
或者干脆改用 execute() 数组方式，避开引用陷阱。
