本文详解如何修复pdo查询中因未正确使用预处理语句导致的sql语法错误（sqlstate[42000]: syntax error or access violation: 1064），重点说明query()与prepare()/execute()的根本区别及安全用法。
原始代码中出现 SQLSTATE[42000]: Syntax error or access violation: 1064 错误，根本原因在于：对含命名占位符（:uid）的SQL语句错误地调用了 $db->query() 方法。
PDO::query() 仅用于执行静态、无参数的SQL语句（如 SELECT * FROM users），它不解析或绑定任何占位符；而 :uid 是预处理语句的命名参数，必须配合 PDO::prepare() 和 PDOStatement::execute() 使用。否则，PDO会将 :uid 视为非法SQL标识符，直接抛出语法错误。
✅ 正确做法是：
- 预处理SQL语句：使用 prepare() 编译含占位符的SQL；
- 安全绑定参数：通过 execute() 传入实际值（支持自动类型转换与转义）；
- 添加异常处理：捕获并调试潜在数据库异常。
以下是修复后的完整示例（含健壮性增强）：
prepare("SELECT * FROM devices WHERE brand_id = :uid ORDER BY id ASC");
$stmt->execute([':uid' => $uid]); // 关联参数名与值
$devices = $stmt->fetchAll(PDO::FETCH_OBJ);
// 可选：后续可遍历 $devices 或输出 JSON
// echo json_encode($devices);
} catch (PDOException $e) {
// 生产环境建议记录日志，而非直接输出敏感错误信息
error_log("Database error: " . $e->getMessage());
http_response_code(500);
echo "An internal error occurred.";
}
}
?>⚠️ 注意事项：
- 永远不要拼接用户输入到SQL中（如 "WHERE brand_id = " . $_GET['getlist']），极易引发SQL注入；
- 占位符名（:uid）在 execute() 中需严格一致，推荐使用关联数组方式传参；
- 若 brand_id 字段为字符串类型，请移除 (int) 强转，并改用 filter_var() 验证；
- 开发阶段可开启 PDO 错误模式提升调试效率：$db->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);
掌握 prepare/execute 模式不仅是解决1064错误的关键，更是保障应用数据安全与代码可维护性的基石。
