答案：PHP中使用PDO连接数据库需创建实例并设置DSN、用户名、密码及选项，如异常模式和默认获取方式。以MySQL为例，DSN包含主机、数据库名和字符集；通过设置ATTR_ERRMODE为异常模式便于错误处理，ATTR_DEFAULT_FETCH_MODE为关联数组，ATTR_EMULATE_PREPARES关闭模拟预处理以提升安全性。预处理语句通过prepare()和execute()方法实现，支持问号占位符或命名占位符，有效防止SQL注入，适用于频繁执行的SQL操作。插入数据可使用INSERT INTO users (name, email) VALUES (?, ?)配合execute传参，或使用:name等命名方式提高可读性。查询时同样使用预处理，如SELECT * FROM users WHERE age > ?，通过fetch逐行获取或fetchAll一次性获取结果。还可通过bindValue指定参数类型，如PDO::PARAM_INT确保类型安全。总之，PDO结合预处理语句提升了数据库操作的安全性与性能，应避免拼接SQL，始终启用异常模式。
PHP中使用PDO连接数据库和执行预处理语句是现代Web开发中的常见做法，它不仅支持多种数据库，还具备更高的安全性和灵活性。下面详细介绍如何使用PDO连接数据库以及预处理语句的使用方法。
PHP PDO连接数据库
要使用PDO连接数据库，首先需要创建一个PDO实例，传入数据源名称（DSN）、用户名和密码。不同数据库的DSN格式略有不同。
以MySQL为例：
try {
$dsn = 'mysql:host=localhost;dbname=testdb;charset=utf8';
$username = 'root';
$password = '';
$options = [
PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION,
PDO::ATTR_DEFAULT_FETCH_MODE => PDO::FETCH_ASSOC,
PDO::ATTR_EMULATE_PREPARES => false,
];
$pdo = new PDO($dsn, $username, $password, $options);
} catch (PDOException $e) {
die('数据库连接失败：' . $e->getMessage());
}
说明：
立即学习“PHP免费学习笔记（深入）”；
- DSN 包含数据库类型、主机、数据库名和字符集。
- ATTR_ERRMODE 设置为异常模式，便于错误处理。
- ATTR_DEFAULT_FETCH_MODE 设置默认获取方式为关联数组。
- ATTR_EMULATE_PREPARES 关闭模拟预处理，使用真正的预处理语句更安全。
PDO预处理语句的作用
预处理语句（Prepared Statements）能有效防止SQL注入攻击。它将SQL模板发送到数据库进行预编译，再传入参数执行，参数不会被当作SQL代码解析。
适用于频繁执行的SQL语句，提升性能并增强安全性。
使用预处理语句插入数据
通过prepare()和execute()方法实现数据插入：
$sql = "INSERT INTO users (name, email) VALUES (?, ?)"; $stmt = $pdo->prepare($sql); $stmt->execute(['张三', 'zhangsan@example.com']);
也可以使用命名占位符：
$sql = "INSERT INTO users (name, email) VALUES (:name, :email)";
$stmt = $pdo->prepare($sql);
$stmt->execute([
':name' => '李四',
':email' => 'lisi@example.com'
]);
命名方式可读性更强，尤其在参数较多时推荐使用。
查询并获取结果
预处理同样适用于SELECT语句：
$sql = "SELECT * FROM users WHERE age > ?"; $stmt = $pdo->prepare($sql); $stmt->execute([18]);while ($row = $stmt->fetch()) { echo $row['name'] . ' - ' . $row['email'] . "
"; }
也可一次性获取所有结果：
$users = $stmt->fetchAll();
foreach ($users as $user) {
echo $user['name'] . '
';
}
绑定参数提高安全性
PDO支持显式绑定参数，进一步控制数据类型：
$sql = "SELECT * FROM users WHERE id = :id";
$stmt = $pdo->prepare($sql);
$stmt->bindValue(':id', 1, PDO::PARAM_INT); // 明确指定为整数
$stmt->execute();
PDO::PARAM_INT 和 PDO::PARAM_STR 可确保参数类型正确，避免类型混淆问题。
基本上就这些。掌握PDO连接和预处理语句，能让PHP操作数据库更安全、高效。注意始终启用异常模式，并合理使用占位符，不要拼接SQL字符串。
