Doctrine DBAL 执行原生 SQL 应使用 $connection->executeStatement() 或 fetchOne() 等方法，自动绑定参数（仅支持 ? 占位符），严禁字符串拼接；标识符需白名单校验或 quoteIdentifier() 转义；勿混用 PDO 原生方法，以免绕过类型转换。
Doctrine DBAL 怎么执行原生 SQL 并绑定参数
直接用 $connection->executeStatement() 或 $connection->fetchOne() 等方法，底层自动处理参数绑定，不用拼 SQL 字符串。
常见错误是手动拼接变量进 SQL，比如 "WHERE id = $id" —— 这等于裸奔，不管是不是整数都可能被注入。
-
executeStatement()适合 INSERT / UPDATE / DELETE，返回影响行数 -
fetchOne()、fetchAllAssociative()、fetchAssociative()适合 SELECT，自动按类型绑定并返回结构化结果 - 占位符统一用
?（问号），顺序传参；不支持命名占位符如:name，除非显式用executeQuery($sql, $params, $types) - 如果参数含字符串或 NULL，DBAL 会根据 PHP 类型自动推断类型；但日期、JSON、二进制等需显式指定
Types::DATE_MUTABLE等常量
为什么不能用 PDO::prepare() + execute() 混用 DBAL 连接
DBAL 的 $connection 封装了 PDO 实例，但自己管理预处理生命周期和类型转换。直接调 $connection->getWrappedConnection()->prepare() 会绕过 DBAL 的参数类型推导和平台适配逻辑。
典型现象：MySQL 中 TINYINT(1) 字段查出来是字符串 "1" 而不是布尔，或者 PostgreSQL 的 JSONB 字段报类型不匹配 —— 因为 PDO 层没走 DBAL 的 type conversion 流程。
- 始终优先用 DBAL 自带的查询方法，比如
fetchOne($sql, [$param]) - 真要拿底层 PDO，只限于调试或特殊驱动操作（如设置 session 变量），且之后别混用 DBAL 查询方法
- DBAL 2.x 和 3.x 的类型系统差异大，
Types::BOOLEAN在旧版可能映射为整数，新版才默认转布尔
执行原生 SQL 时怎么安全传入表名或字段名
问号占位符只能绑定值，不能绑定标识符（表名、字段名、ORDER BY 子句）。硬拼是唯一常见做法，但必须白名单校验。
错误示例："SELECT * FROM $table WHERE id = ?" —— $table 来自用户输入就完蛋。
- 用白名单数组严格比对，比如
$allowedTables = ['user', 'post', 'comment'];，再in_array($table, $allowedTables, true) - DBAL 自带
quoteIdentifier()方法可转义单个标识符，如$connection->quoteIdentifier('user.name')→`user`.`name`（MySQL）或"user"."name"（PostgreSQL） - 避免动态拼接 ORDER BY 或 GROUP BY，实在要支持，只允许预设字段 + 方向组合，如
['created_at ASC', 'score DESC']
DBAL 执行原生 SQL 的性能和兼容性注意点
DBAL 不做 SQL 解析，原生语句完全由数据库执行，所以性能和语法兼容性取决于你写的 SQL 本身，不是 DBAL。
但容易忽略的是：DBAL 默认开启 query cache（尤其在 Symfony 环境中），而原生 SQL 不会被缓存识别，可能造成连接池或 prepared statement 泄漏。
- 大批量写入时，别用
executeStatement()循环单条插入，改用executeStatement("INSERT INTO t VALUES (?),(?),(?)", [$a, $b, $c])批量占位 - MySQL 8.0+ 支持 SET PERSIST，但 DBAL 不会帮你发这类管理命令，要用
executeStatement()单独发，且注意权限 - SQLite 的
PRAGMA语句必须用executeStatement()，不能用executeQuery()，否则报“not a SELECT”错误
最麻烦的其实是跨平台 SQL：比如 MySQL 的 INSERT ... ON DUPLICATE KEY UPDATE 和 PostgreSQL 的 ON CONFLICT DO UPDATE 无法共用同一套原生语句，这时候不如退回 ORM 的 merge() 或用 DBAL 的 upsert()（3.7+）抽象层。
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
