如何正确使用 PDO 创建安全的数据库连接与预处理查询-php教程-PHP中文网

如何正确使用 PDO 创建安全的数据库连接与预处理查询

本文详解如何将存在 sql 注入风险的 mysqli 代码迁移到更安全、更现代的 pdo 方式，涵盖 pdo 实例化、预处理语句绑定、错误处理及常见陷阱规避。

本文详解如何将存在 sql 注入风险的 mysqli 代码迁移到更安全、更现代的 pdo 方式，涵盖 pdo 实例化、预处理语句绑定、错误处理及常见陷阱规避。

在 PHP 开发中，直接拼接用户输入到 SQL 查询字符串（如 WHERE id = '".$_POST["row_id"]."'）极易引发 SQL 注入攻击，严重威胁数据安全。PDO（PHP Data Objects）作为 PHP 官方推荐的数据库访问抽象层，不仅支持多种数据库驱动，更通过预处理语句（Prepared Statements）从根本上杜绝注入风险。以下为完整、可直接部署的 PDO 实现方案。

✅ 正确创建 PDO 连接并执行安全查询

<?php header('Content-Type: application/json; charset=utf-8');

try {
    // 1. 创建 PDO 实例：启用异常模式（关键！）
    $pdo = new PDO('mysql:host=localhost;dbname=project;charset=utf8mb4', 'root', '', [
        PDO::ATTR_ERRMODE            => PDO::ERRMODE_EXCEPTION,   // 错误抛出异常
        PDO::ATTR_DEFAULT_FETCH_MODE => PDO::FETCH_ASSOC,         // 默认以关联数组返回
        PDO::ATTR_EMULATE_PREPARES   => false,                    // 禁用模拟预处理（确保真正参数化）
    ]);

    // 2. 检查 POST 参数有效性
    if (!isset($_POST['row_id']) || !is_numeric($_POST['row_id'])) {
        http_response_code(400);
        echo json_encode(['error' => 'Invalid or missing row_id']);
        exit;
    }

    // 3. 预处理查询（使用命名占位符 :id）
    $sql = "SELECT id, username, usertype, division, mobnum, userstatus, DATE(created_at) AS created_at 
            FROM users WHERE id = :id";
    $stmt = $pdo->prepare($sql);

    // 4. 绑定参数（自动类型处理，无需手动转义）
    $stmt->bindParam(':id', $_POST['row_id'], PDO::PARAM_INT);

    // 5. 执行并获取结果
    $stmt->execute();
    $row = $stmt->fetch();

    // 6. 输出 JSON 响应
    echo json_encode($row ?: null); // 若无匹配记录，返回 null

} catch (PDOException $e) {
    // 记录详细错误日志（生产环境切勿暴露敏感信息给前端）
    error_log('PDO Error: ' . $e->getMessage());
    http_response_code(500);
    echo json_encode(['error' => 'Database query failed']);
}

⚠️ 关键注意事项

必须启用 PDO::ERRMODE_EXCEPTION：这是 PDO 安全使用的前提，否则错误会被静默忽略，导致调试困难且逻辑失效。
避免 PDO::ATTR_EMULATE_PREPARES => true（默认值）：模拟预处理会将参数拼接到 SQL 字符串中，丧失防注入能力；设为 false 强制使用 MySQL 原生预处理。
显式指定字符集（charset=utf8mb4）：防止因编码不一致导致的乱码或截断问题，尤其对 emoji 和多语言支持至关重要。
参数类型明确绑定：PDO::PARAM_INT 确保 row_id 被当作整数处理，比 PDO::PARAM_STR 更安全（即使用户传入字符串，也会被强制转换或报错）。
输入验证不可省略：PDO 防注入 ≠ 免验证。仍需校验 row_id 是否为数字、是否在合理范围内等业务逻辑约束。