pdo扩展需在php.ini中启用extension=pdo_mysql，连接时dsn要显式指定charset=utf8mb4且禁用emulate_prepared，预处理防注入，fetch策略和事务autocommit设置须严格规范。
如何确认PDO扩展已启用并连接MySQL
PHP 7.0+ 默认编译了 PDO，但不等于已启用。直接调用 PDO 类报 Class 'PDO' not found，大概率是 extension=pdo_mysql 没在 php.ini 中开启。
验证方式：运行 php -m | grep pdo，应看到 pdo 和 pdo_mysql；或写个 phpinfo() 页面搜索 “PDO”。
连接时别硬编码 DSN，把 host、dbname、charset 分离出来：
$host = '127.0.0.1';
$dbname = 'testdb';
$charset = 'utf8mb4';
$dsn = "mysql:host=$host;dbname=$dbname;charset=$charset";
$options = [
PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION,
PDO::ATTR_DEFAULT_FETCH_MODE => PDO::FETCH_ASSOC,
PDO::ATTR_EMULATE_PREPARES => false,
];
try {
$pdo = new PDO($dsn, $user, $pass, $options);
} catch (PDOException $e) {
die('连接失败：' . $e->getMessage());
}
-
PDO::ATTR_EMULATE_PREPARES => false必须设为false，否则 MySQL 服务端预处理不生效，INT字段可能被当成字符串传入 -
charset=utf8mb4要显式写进 DSN，仅靠SET NAMES不可靠，尤其在连接复用场景下 - 不要在 DSN 中加
port=3306—— 除非你真改了端口；默认值由 MySQL 客户端库决定，硬写反而容易出错
为什么用 prepare + execute 而不是直接拼 SQL
拼接字符串生成 SQL（如 "SELECT * FROM users WHERE id = " . $_GET['id']）是严重漏洞，哪怕加了 (int) 强转，也挡不住类型绕过和二次注入（比如在 ORDER BY 后注入）。
正确做法永远走预处理：
// ✅ 安全：参数与 SQL 逻辑分离
$stmt = $pdo->prepare("SELECT name, email FROM users WHERE status = ? AND created_at > ?");
$stmt->execute(['active', '2024-01-01']);
<p>// ❌ 危险：即使过滤了，也无法覆盖所有上下文
$sql = "SELECT * FROM logs WHERE level = '" . addslashes($_POST['level']) . "'";
$pdo->query($sql);</p>
- 占位符只支持
?（位置参数）或:name（命名参数），不支持表名、字段名、ORDER BY 子句——这些必须由白名单控制 -
execute()的参数数组里，数字类型无需手动转 int/float，PDO 会按绑定类型自动处理 - 批量插入用
execute()多次比拼大 SQL 快，且内存更稳；1000 行以上建议分批（如每次 200）
fetch()、fetchALL() 和 while + fetch() 的取舍
查 1 条记录用 fetch()，查多条但后续要逐行处理（比如导出 CSV、发邮件）用 while ($row = $stmt->fetch())，查完立刻遍历用 fetchAll() —— 选错会导致 OOM 或逻辑错。
-
fetchAll()把全部结果一次性载入 PHP 内存，10 万行 × 20 字段 ≈ 200MB+，容易触发Fatal error: Allowed memory size exhausted -
fetch()返回单行后指针自动下移，再调一次就取下一行；若只要第一行，就别用fetchAll()[0]，浪费资源 - 用
fetch(PDO::FETCH_NUM)比PDO::FETCH_ASSOC省约 15% 内存，但代码可读性下降，权衡场景选
事务中 commit() 失败为何没报错
常见陷阱：beginTransaction() 后执行几条 execute()，最后 commit() 返回 true，但数据没写进去——因为 MySQL 默认 autocommit=ON，commit() 实际什么也没做。
根本原因：PDO 默认不关 autocommit，beginTransaction() 只是发了个 BEGIN 包，但若之前没显式 setAttribute(PDO::ATTR_AUTOCOMMIT, false)，事务无法真正生效。
- 正确流程是：
$pdo->setAttribute(PDO::ATTR_AUTOCOMMIT, false)→beginTransaction()→ 执行语句 →commit()或rollback() -
commit()成功只表示“提交指令发出去了”，不保证持久化完成；真正判断是否成功，得看有没有抛出PDOException - 事务内不要混用
mysql_query()或其他扩展，它们完全不感知 PDO 的事务状态
复杂业务里，prepare 的绑定、fetch 的内存策略、事务的 autocommit 设置，三者任何一个漏掉，都可能在线上安静地坏上好几天。
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
