PHP8.4连接数据库时怎样配置ATTR_EMULATE

PHP 8.4 连接 MySQL 必须将 PDO::ATTR_EMULATE_PREPARES 设为 false，否则仍字符串拼接、不防注入、不走服务端预编译；需在 PDO 实例化时精确传入布尔值 false，并运行时用 getAttribute() 验证生效。

php8.4连接数据库时怎样配置attr_emulate_prepares

PHP 8.4 连接 MySQL 必须设为 false

PHP 8.4 默认仍沿用 PDO 扩展的旧行为：PDO::ATTR_EMULATE_PREPARES 默认是 true，这意味着所有 prepare() 都在 PHP 层拼接 SQL，**不防注入、不走服务端预编译、类型全转 string**。生产环境必须显式关掉。

不设置或设为 true：哪怕你写了 where(['id' => $_GET['id']])，ThinkPHP 或原生 PDO 都会变成字符串拼接，%df' 类宽字节 payload 可穿透
设为 false 后，prepare('SELECT * FROM t WHERE id = ?') 才真正发 PREPARE 到 MySQL，参数独立传入，类型由数据库解析
PHP 8.4 + MySQL 8.0+ 组合下，false 已无兼容性问题；但若用老旧 MySQL 5.6 或某些 Docker 镜像（如 mysql:5.7 默认字符集为 latin1），需额外验证

配置位置和写法要精确到每个字符

不能只改配置文件，必须在 PDO 实例化时传入，且键名大小写、值类型都不能错——false 是布尔值，不是字符串 'false'。

正确写法：PDO::ATTR_EMULATE_PREPARES => false（注意是 false，不是 'false' 或 0）
常见错误：'PDO::ATTR_EMULATE_PREPARES' => false（字符串键名，PDO 不识别）
ThinkPHP 6/7 用户：在 config/database.php 的 'params' 数组里加，不是 'options' 或顶层
Swoole 协程或连接池场景：每次新建连接都得重设，复用旧连接可能保留上一次的属性值

运行时必须验证是否生效

光看代码写了没没用，得运行时调用 getAttribute() 确认返回 false。很多线上事故就卡在这一步——配置写了，但被中间件覆盖或连接复用导致失效。

kashen-mysql DDLtoExcel

解析 MySQL 8.0 的 DDL 脚本，并将表结构导出为 Excel 格式。适用于用户需将 MySQL 的 `CREATE TABLE` 语句转换为结构化的 Excel 文件场景，导出内容包含字段名、数据类型、长度及精度等信息。支持多张表的批量处理，每张表对应 Excel 中的一个独立工作表。适用于数据库文档编写、数据字典生成及模式分析等任务。

下载

验证代码：var_dump($pdo->getAttribute(PDO::ATTR_EMULATE_PREPARES)); —— 输出 bool(false) 才算成功
别信日志里 “Binding: [1]” 这种假象，它只是 PDO 自己记录的绑定动作，不代表服务端真用了预处理
查 MySQL 慢日志：PDO::ATTR_EMULATE_PREPARES => false 时，慢日志里看到的是 SELECT * FROM users WHERE id = ?；设为 true 时，日志里是 SELECT * FROM users WHERE id = '1'

关闭后要注意的三个实际坑

PDO::ATTR_EMULATE_PREPARES => false 不是开光按钮，关了之后有些写法会直接报错或行为突变。

IN 查询不能传数组：$pdo->prepare("WHERE id IN (?)")->execute([[1,2,3]]) 会失败，必须动态生成 ?, ?, ? 占位符再绑定
命名占位符带空格会静默失败：:name （末尾有空格）和 :name 被当成两个不同参数，bindValue(':name ', $val) 不报错但不生效
某些老驱动不支持 SET NAMES 与预处理共存，如果连接后立即执行 SET NAMES utf8mb4，可能导致后续 prepare() 报 SQLSTATE[HY000]: General error