PDO预处理语句的参数占位符（如:tblname）仅支持标量值（字符串、数字等），不支持数据库对象名（如表名、列名、ORDER BY字段等），根本原因在于SQL解析阶段与参数绑定阶段严格分离——参数在语法解析完成后才注入，而表名属于SQL结构的一部分，必须在解析时即确定。
pdo预处理语句的参数占位符（如`:tblname`）仅支持标量值（字符串、数字等），不支持数据库对象名（如表名、列名、order by字段等），根本原因在于sql解析阶段与参数绑定阶段严格分离——参数在语法解析完成后才注入，而表名属于sql结构的一部分，必须在解析时即确定。
在PDO中，真正的预处理（当 PDO::ATTR_EMULATE_PREPARES = false 时）遵循标准的客户端-服务端协议：prepare() 阶段会将SQL发送至数据库服务器进行完整语法解析与语义校验（例如检查表是否存在、列是否合法、语法是否正确）。此时，数据库引擎已构建好执行计划，仅预留“常量值”位置供后续 execute() 填充。
而表名（或列名、数据库名等标识符）不是常量值，而是SQL语法结构的组成部分。试想以下非法SQL：
SELECT * FROM 'users'; -- ❌ 语法错误：字符串字面量不能作为表名
若允许 :tblname 绑定表名，数据库在解析阶段看到 FROM :tblname 时，无法判断该占位符应被解释为标识符还是字符串——它只能按“标量参数”处理，即等价于代入一个带引号的字符串字面量，而这在SQL语法上是无效的。
✅ 正确做法：白名单校验 + 字符串拼接
对动态表名，必须在拼接前严格验证其合法性：
$allowedTables = ['users', 'posts', 'comments'];
if (!in_array($table_name, $allowedTables, true)) {
throw new InvalidArgumentException('Invalid table name');
}
$sql = "SELECT COUNT(1) FROM {$table_name}"; // 注意：此处非参数化，但已通过白名单确保安全
$stmt = $pdo->prepare($sql);
$stmt->execute();
⚠️ 注意事项：
- 永远不要直接拼接用户输入的表名/列名；
- 使用 PDO::quoteIdentifier() 并不能替代白名单（它仅转义，无法防止标识符注入）；
- PDO::ATTR_EMULATE_PREPARES = true 时，PDO会模拟预处理（即内部做字符串替换），但仍不支持标识符参数化，且丧失原生预处理的安全与性能优势；
- 复杂场景可考虑使用查询构建器（如Doctrine DBAL）或模板化SQL生成器，本质仍是编译期确定标识符。
总结：参数化设计的核心价值在于解耦逻辑结构与数据内容——表名定义“做什么”，参数决定“用什么数据做”。混淆二者将破坏SQL解析的安全边界，因此数据库引擎从设计上就禁止标识符参数化。安全的动态SQL，永远始于严格的输入约束，而非依赖参数机制兜底。
