php 8.5.5 中 prepare() 和 execute() 必须成对使用并严格参数绑定，prepare() 返回 pdostatement 实例后方可调用 execute()，命名与位置占位符不可混用，须关闭模拟预处理、启用异常模式并声明 charset=utf8mb4。
PHP 8.5.5 中 prepare() 和 execute() 必须成对使用，且必须走参数绑定路径——只调用 prepare() 不绑定、不执行，等于没防注入；只拼字符串再 prepare()，等于白写。
prepare() 必须作用于 PDOStatement 对象，不能直接在 PDO 实例上调用
常见错误是把 prepare() 当作连接对象的方法乱用，比如 $pdo->prepare(...)->execute(...) 看似连贯，但一旦中间出错（如 SQL 语法错），prepare() 返回 false，后续 execute() 就会报 “Call to a member function execute() on bool”。
- 务必检查
prepare()返回值是否为PDOStatement实例，可用is_object($stmt) && $stmt instanceof PDOStatement - 不要写
$pdo->execute(...)——execute()只属于PDOStatement，不是PDO的方法 - 命名占位符和位置占位符不可混用：一条 SQL 里只能选
:name或?其中一种，否则prepare()直接失败
execute() 传参必须匹配占位符类型和顺序
传数组给 execute() 最省事，但极易因大小写、空格或键名格式错导致静默失败（查不到数据却无报错）。
- 命名占位符传参时，键名必须带冒号且严格一致：
[':user_id' => 123]✅，['user_id' => 123]❌，[' :user_id' => 123]❌ - 位置占位符传参必须是纯索引数组，顺序不能错：
execute([$name, $email, $status])，对应三个?从左到右 - 若字段含 NULL 值，直接传
null即可，PDO 会自动处理；但别传字符串'null'，那会当字面量插入
bindValue() 是更可控的绑定方式，尤其适合循环场景
当你需要复用同一语句执行多次（比如批量插入），execute() 传数组会反复创建新数组，而 bindValue() 绑定后只需改值再 execute()，开销更低、逻辑更清晰。
-
bindValue(1, $val, PDO::PARAM_STR)中第一个参数是位置索引（从 1 开始），不是数组下标 -
bindValue(':name', $name)中第一个参数是完整占位符字符串，包括冒号 - 避免用
bindParam()绑定变量引用——除非你真需要“执行时才取值”，否则容易因变量重用导致意外交互 - 数值类型建议显式指定：
PDO::PARAM_INT或PDO::PARAM_BOOL，防止字符串隐式转换引发查询偏差
必须关闭模拟预处理并启用异常模式
PHP 8.5.5 默认仍开启 PDO::ATTR_EMULATE_PREPARES => true，这意味着 MySQL 服务端根本没收到预处理指令，所有替换都在 PHP 层做，宽字节注入风险仍在。
- DSN 中必须包含
charset=utf8mb4，且连接选项里设PDO::ATTR_EMULATE_PREPARES => false -
PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION不可省略——否则execute()失败只会返回false，不抛异常，错误被吞掉 - 字符集不匹配时（比如 DSN 写
utf8而非utf8mb4），即使开了真实预处理，某些 emoji 或生僻字仍可能触发截断或注入绕过
真正麻烦的不是语法怎么写，而是每一步都得卡住边界条件：占位符格式、返回值校验、字符集声明、异常开关。漏掉任意一环，prepare() 就只是个看起来很安全的装饰函数。
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
