PHP PDOStatement::bindParam 陷阱：foreach 迴圈導致參數綁定錯誤

經典錯誤現場

<?php
$dbh = new PDO('mysql:host=localhost;dbname=test', 'user', 'pass');
$stmt = $dbh->prepare('INSERT INTO `user` (`username`, `password`) VALUES (:username, :password)');

$params = [':username' => 'laruence', ':password' => 'weibo'];

foreach ($params as $key => $value) {
    $stmt->bindParam($key, $value); // 陷阱在此！
}
$stmt->execute();
// 實際執行 SQL：INSERT ... VALUES ('weibo', 'weibo')

預期寫入 laruence、weibo，實際卻寫入兩個 weibo。

根本原因：bindParam 需要參考變數

bindParam 第二參數必須是變數參考，會在 execute() 時讀取變數當前值。foreach ($arr as $k => $v) 中的 $v 是同一個變數，每次迴圈只是改變其值，導致所有參數綁定指向同一個記憶體位址，最終皆為最後一個值。

拆解過程

<?php
// 等同於：
$value = $params[':username'];  // $value = 'laruence'
$stmt->bindParam(':username', $value); // 綁定 $value 參考

$value = $params[':password'];  // $value 被覆蓋為 'weibo'
$stmt->bindParam(':password', $value); // 綁定同一個 $value 參考

// execute() 時讀取 $value → 皆為 'weibo'

三種正確解法

解法一：手動逐一綁定（最清晰）

<?php
$stmt->bindParam(':username', $params[':username']);
$stmt->bindParam(':password', $params[':password']);
// 陣列元素各自為獨立變數，參考互不干擾

解法二：改用 bindValue（推薦簡單場景）

<?php
foreach ($params as $key => $value) {
    $stmt->bindValue($key, $value); // 綁定「值」而非「參考」
}
// 或直接 execute 陣列
$stmt->execute($params);

bindValue 立即複製值，execute($arr) 內部自動處理，兩者皆避開參考陷阱。

解法三：foreach 參考傳值（不推薦，易誤解）

<?php
foreach ($params as $key => &$value) { // 注意 &$value
    $stmt->bindParam($key, $value);
}
// 每次迴圈 $value 為陣列元素本身的參考，各自獨立

核心原則

凡函式要求「參考參數」且「延遲讀取」（如 bindParam、preg_match 第三參數、sort 等），嚴禁在 foreach 值拷貝模式下直接使用迴圈變數。

延伸：PDO 參數綁定最佳實踐

• 簡單查詢：直接 $stmt->execute($params)
• 需指定資料型別：$stmt->bindValue($key, $value, PDO::PARAM_INT)
• 複雜邏輯/效能敏感：預備語句 + 手動 bindParam 變數
• 永遠啟用 PDO::ATTR_ERRMODE = PDO::ERRMODE_EXCEPTION