必须禁用模拟预处理（PDO::ATTR_EMULATE_PREPARES => false），否则无法彻底杜绝SQL注入；需配合正确字符集、错误模式及占位符规范使用，动态SQL子句仍须白名单校验。
必须禁用模拟预处理（PDO::ATTR_EMULATE_PREPARES => false），否则无法彻底杜绝SQL注入——这是PHP 8.3中PDO防注入最关键的配置项。
为什么PDO::ATTR_EMULATE_PREPARES => false不能省
MySQL驱动默认开启模拟预处理（即true），此时PHP会在客户端把占位符替换成转义后的值，再拼成完整SQL发给数据库。这等价于手动字符串拼接，只是由PHP代劳而已——攻击者仍可通过构造特殊输入（如' OR 1=1 -- ）绕过，尤其在多字节字符、边界情况或错误字符集下。
设为false后，PDO会调用MySQL原生的PREPARE/EXECUTE协议：SQL结构先编译，参数以二进制协议单独传输，数据库严格按数据类型接收，完全隔离执行。
- MySQL 5.7+ / 8.0+ 均支持真实预处理，无需额外条件
- 仅SQLite和部分旧PostgreSQL驱动不支持，但PHP 8.3默认MySQL场景下必须关掉模拟
- 若连接时未显式设置，且驱动未强制启用真实预处理，
prepare()返回的对象可能仍是模拟的
prepare()前必须确保连接已设好错误模式与字符集
预处理语句的安全性依赖底层连接状态。若连接本身乱码或静默失败，prepare()可能返回false却不报错，后续execute()直接崩溃或降级为拼接。
立即学习“PHP免费学习笔记（深入）”；
正确初始化示例：
$dsn = 'mysql:host=localhost;dbname=testdb;charset=utf8mb4';
$options = [
PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION,
PDO::ATTR_EMULATE_PREPARES => false,
PDO::MYSQL_ATTR_INIT_COMMAND => "SET NAMES utf8mb4",
];
$pdo = new PDO($dsn, $user, $pass, $options);
-
charset=utf8mb4必须写在DSN里，不能只靠SET NAMES——后者不保证连接层编码一致 -
PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION不可省：否则prepare()失败只返回false，容易被忽略 -
PDO::MYSQL_ATTR_INIT_COMMAND是MySQL专用，用于强制初始化命令，避免连接复用时状态残留
命名占位符比问号更安全，但绑定方式有区别
命名占位符（如:email）可读性强，且避免参数顺序错位；但bindParam()和bindValue()行为不同，误用会导致空结果或类型错误。
-
bindParam(':email', $email, PDO::PARAM_STR)：绑定变量引用，$email后续修改会影响执行值 -
bindValue(':email', $_POST['email'], PDO::PARAM_STR)：绑定当前值快照，推荐用于表单输入 - 若传入
null或数字，需显式指定类型（如PDO::PARAM_NULL或PDO::PARAM_INT），否则MySQL可能报Truncated incorrect DOUBLE value - 不要混用：
prepare("WHERE id = :id AND name = ?")在PHP 8.3中会直接抛出PDOException
execute()传数组时要注意键名与占位符严格匹配
用$stmt->execute([':email' => $email])看似简洁，但实际要求键名带冒号；而$stmt->execute(['email' => $email])对命名占位符无效，会静默失败或触发警告（取决于错误级别）。
- 推荐统一用
bindValue()或bindParam()，逻辑清晰、调试方便 - 如果坚持用数组传参，必须确保键名与SQL中占位符完全一致（包括冒号）
- 对问号占位符，数组必须是索引数组且顺序严格对应，
[0 => $a, 2 => $b]会跳过第二个参数，导致execute()失败 - PHP 8.3中
execute()对非法参数不再静默容忍，会立即抛出PDOException
最易被忽略的是：即使开了PDO::ATTR_EMULATE_PREPARES => false，如果SQL里拼接了任何用户输入（比如ORDER BY $_GET['sort']），预处理也救不了——这类动态子句必须白名单校验，不能靠占位符。
