预处理语句把 SQL 结构与数据参数分离，是防止 SQL 注入的基础。它不能替代权限控制和输入校验，但可以确保用户输入不会被数据库解释为新的 SQL 片段。

核心原则

  • 创建 PDO 时启用异常模式并设置正确字符集，避免静默失败和编码问题。
  • 所有数据值使用命名或位置占位符绑定，不通过字符串拼接进入 SQL。
  • 表名、列名和排序方向不能用普通参数绑定，必须从白名单映射。
  • 多步写操作放进事务，并在异常时回滚，保持数据一致性。
  • 数据库账号只授予应用所需的最小权限，查询错误不直接展示给用户。

推荐的实践步骤

查询条件可以动态组合，但每个条件都使用固定 SQL 片段和独立参数。分页的数值经过边界校验后绑定为整数，排序字段通过业务名称映射到允许列。写操作在 try 中开启事务，全部成功后提交；catch 中判断事务状态并回滚，再包装为应用异常。

$pdo = new PDO($dsn, $user, $password, [
    PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION,
    PDO::ATTR_DEFAULT_FETCH_MODE => PDO::FETCH_ASSOC,
]);
$stmt = $pdo->prepare(
    'SELECT id, name FROM users WHERE email = :email'
);
$stmt->execute(['email' => $email]);
$user = $stmt->fetch();

示例用于说明实现思路，实际项目还应结合所使用的框架版本、部署环境和业务约束进行调整。重要配置要进入版本管理，并在测试环境验证后再发布。

常见误区

  • 使用 addslashes 或手工转义替代参数绑定，容易遗漏数据库特定边界。
  • 把用户提交的 order by 字段直接拼进 SQL，仍然可能产生注入。
  • 长事务中包含网络请求，会延长锁持有时间并增加死锁概率。

上线前检查清单

  • 确认“创建 PDO 时启用异常模式并设置正确字符集，避免静默失败和编码问题”已经通过代码审查或运行验证。
  • 确认“所有数据值使用命名或位置占位符绑定，不通过字符串拼接进入 SQL”已经通过代码审查或运行验证。
  • 确认“表名、列名和排序方向不能用普通参数绑定，必须从白名单映射”已经通过代码审查或运行验证。
  • 确认“多步写操作放进事务，并在异常时回滚，保持数据一致性”已经通过代码审查或运行验证。
  • 为失败路径、边界条件和回滚方案准备测试或演练记录。
  • 上线后观察错误率、延迟和资源消耗，确认变化符合预期。

总结

PHP PDO 预处理语句：安全访问数据库并防止 SQL 注入的关键在于把隐含假设变成可执行的约束，并通过测试、监控和复盘持续验证。先从影响最大的真实场景开始，小步调整并保留回滚能力，通常比一次性大范围改造更安全，也更容易积累可复用的工程经验。