mysqli需手动类型转换后拼接limit，pdo须用bindvalue绑定pdo::param_int；offset分页性能差，应优先用游标分页；用户输入的limit参数必须强转整型、设上限并校验正整数。
MySQLi 和 PDO 中的 LIMIT 用法差异
PHP 本身不直接限制查询行数，真正起作用的是 SQL 的 LIMIT 子句，但不同扩展的写法和安全要求不同。
MySQLi（面向对象）必须显式拼接或使用预处理绑定偏移/数量；PDO 则支持在 prepare() 后用 bindValue() 绑定 LIMIT 参数，但注意：MySQL 不允许预处理语句中绑定 LIMIT 的列名或数字位置——必须是整数，且不能是表达式。
- 错误写法：
$stmt->bindValue(1, '?', PDO::PARAM_INT)（字符串 '?' 不会被转为整数） - 正确做法：先过滤并强制转为
(int)，再传入：$limit = (int)$_GET['limit']; $stmt->bindValue(1, $limit, PDO::PARAM_INT) - MySQLi 预处理不支持
LIMIT ?，只能用字符串拼接（需确保变量已校验）："SELECT * FROM users LIMIT " . (int)$limit
防止 SQL 注入时 LIMIT 参数怎么校验
LIMIT 后的值若来自用户输入（如分页参数），未校验会引发注入或越界查询。它不能像普通 WHERE 字段那样用参数化绕过，必须前置白名单或强类型转换。
- 只接受正整数：
$limit = max(1, (int)($_GET['limit'] ?? 20))，max()防止负数变成大整数 - 设硬上限避免拖垮数据库：
$limit = min($limit, 100) - 禁止小数、空值、非数字字符串——
(int)''得 0，会导致LIMIT 0返回空结果，容易被误判为“无数据”而非“参数非法” - 不要用
filter_var($input, FILTER_VALIDATE_INT)然后直接拼接，因为它对"123abc"也返回 123，仍需配合ctype_digit()或正则/^\d+$/严格判断原始字符串
使用 LIMIT 实现分页时 OFFSET 的陷阱
分页常用 LIMIT offset, count，但 OFFSET 在大数据量下性能极差——MySQL 仍要扫描并跳过前 N 行。
- 100 万行表查第 10000 页（
LIMIT 999990, 10）可能耗时数秒，因为引擎必须定位到第 999990 条记录 - 替代方案是“游标分页”：用上一页最后一条记录的主键（如
id > 12345）代替OFFSET，前提是排序字段有索引且唯一 - 如果必须用
OFFSET，务必在ORDER BY字段加联合索引，例如ORDER BY created_at DESC, id DESC对应索引(created_at, id) - 不要写
LIMIT 10 OFFSET 0这种冗余形式，直接写LIMIT 10即可
ORM 框架里怎么安全加 LIMIT
Laravel Eloquent、ThinkPHP Query Builder 等封装了 limit() 和 take() 方法，底层仍拼 SQL，但自动做了整型转换和范围限制。
- Laravel：
User::where('status', 1)->limit(10)->get()，limit()内部调用(int)转换，但不会拦截负数（limit(-5)变成LIMIT 0） - ThinkPHP：
Db::table('user')->limit(20)->select()，同样依赖开发者传入合法整数 - 关键点：框架不替你校验请求参数，
$_GET['limit']仍需手动过滤后再传给 ORM 方法 - 有些框架（如 CodeIgniter）的
limit()支持两个参数：limit(10, 20)表示LIMIT 20, 10（count, offset），顺序易混淆，需看文档确认
最常被忽略的是：LIMIT 只控制结果集大小，不阻止 MySQL 扫描全表。如果 WHERE 条件没走索引，加了 LIMIT 也慢。优化永远从执行计划（EXPLAIN）开始，而不是只盯着行数限制。
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
