该错误源于 SQL 语句中使用了字符串拼接却尝试绑定不存在的命名占位符，导致绑定变量数量与占位符数量不匹配；正确做法是仅对数据值使用参数化绑定，表名等结构元素需通过白名单校验后拼接。

该错误源于 sql 语句中使用了字符串拼接却尝试绑定不存在的命名占位符，导致绑定变量数量与占位符数量不匹配；正确做法是仅对**数据值**使用参数化绑定，表名等结构元素需通过白名单校验后拼接。

在使用 PDO 执行预处理语句时，SQLSTATE[HY093]: Invalid parameter number 是一个常见但极易被误解的错误。它明确指出：绑定的变量数量 ≠ SQL 语句中实际存在的参数占位符数量。观察原始代码：

$stmt = Connection::connect()->prepare("SELECT * FROM $table WHERE saledate like'%$finalDate%'");
$stmt->bindParam(":saledate", $finalDate, PDO::PARAM_STR); // ❌ 占位符 :saledate 在 SQL 中根本未出现！

这里存在两个关键错误：

1. 表名 $table 直接拼接到 SQL 字符串中 —— 这不仅无法用 bindParam() 绑定（PDO 不支持参数化表名/列名），更带来严重 SQL 注入风险；
2. 日期值 $finalDate 被硬编码进字符串 '%$finalDate%' —— 此时 SQL 中没有任何 :saledate 或 ? 占位符，bindParam() 却试图绑定一个不存在的参数，直接触发 HY093。

✅ 正确做法遵循「结构静态化、数据参数化」原则：

• ✅ 表名必须通过白名单校验（不可由用户输入直接决定），再安全拼接；
• ✅ 所有用户可控的数据（如 $finalDate）必须使用 ? 或 :name 占位符，并严格对应 bindValue() / bindParam()；
• ✅ LIKE 模糊匹配中的通配符 % 应置于 PHP 变量中，而非 SQL 字符串内（否则无法参数化）。

修正后的安全实现如下：

static public function mdlSalesDatesRange($table, $initialDate, $finalDate)
{
    // 【关键】白名单校验表名，杜绝 SQL 注入
    $allowedTables = ['sales', 'orders', 'invoices']; // 根据实际业务定义
    if (!in_array($table, $allowedTables)) {
        throw new InvalidArgumentException("Invalid table name: $table");
    }

    $pdo = Connection::connect();

    if ($initialDate === null) {
        $stmt = $pdo->prepare("SELECT * FROM `$table` ORDER BY id ASC");
        $stmt->execute();
        return $stmt->fetchAll(PDO::FETCH_ASSOC);
    } 
    elseif ($initialDate === $finalDate) {
        // ✅ 正确：占位符 ? 对应后续 bindValue，% 由 PHP 拼接
        $searchPattern = "%{$finalDate}%";
        $stmt = $pdo->prepare("SELECT * FROM `$table` WHERE saledate LIKE ?");
        $stmt->bindValue(1, $searchPattern, PDO::PARAM_STR);
        $stmt->execute();
        return $stmt->fetchAll(PDO::FETCH_ASSOC);
    }

    // 可扩展：支持日期范围查询（推荐使用 >= / prepare("SELECT * FROM `$table` WHERE saledate BETWEEN ? AND ?");
    // $stmt->bindValue(1, $initialDate, PDO::PARAM_STR);
    // $stmt->bindValue(2, $finalDate, PDO::PARAM_STR);
    // ...
}

⚠️ 重要注意事项：

• PDO::prepare() 不支持对表名、列名、排序方向（ASC/DESC）等 SQL 结构进行参数化，必须通过白名单或正则严格校验后拼接；
• 使用 bindValue() 比 bindParam() 更适合此处场景（无需引用传递，且避免变量生命周期问题）；
• LIKE 配合日期字段效率较低，若 saledate 是 DATE 或 DATETIME 类型，优先使用 BETWEEN 或比较运算符提升性能与准确性；
• 始终指定 PDO::FETCH_ASSOC 等明确的 fetch mode，避免隐式行为差异。

掌握参数化查询的边界（什么能绑、什么不能绑），是写出安全、健壮 PDO 代码的核心前提。