PDO 參數化查詢深度解析：bindParam vs bindValue、存儲過程綁定、防注入原理與性能優勢

核心區別：bindParam() vs bindValue()

代碼示例：正確與錯誤用法

<?php
$pdo = new PDO('mysql:host=localhost;dbname=test', 'user', 'pass');
$stmt = $pdo->prepare("SELECT * FROM users WHERE username = :user");

$user = "jack";

// ✅ 正確：bindParam 綁定變量引用
$stmt->bindParam(":user", $user);

// ❌ 錯誤：bindParam 不能直接綁字面量
// $stmt->bindParam(":user", "jack"); // Fatal Error: Cannot pass parameter 2 by reference

// ✅ 正確：bindValue 綁定變量
$stmt->bindValue(":user", $user);

// ✅ 正確：bindValue 綁定字面量
$stmt->bindValue(":user", "jack");

$stmt->execute();

進階：存儲過程 OUT/INOUT 參數綁定

只有 bindParam() 能處理輸出參數：

<?php
$stmt = $pdo->prepare("CALL get_user_count(:total)");
// 必須指定 PARAM_INT 並初始化變量
$total = 0;
$stmt->bindParam(':total', $total, PDO::PARAM_INT | PDO::PARAM_INPUT_OUTPUT, 10); // 長度 10
$stmt->execute();
echo "用戶總數: $total"; // 存儲過程執行後，變量自動更新

參數化查詢防 SQL 注入原理

1. 編譯與數據分離：SQL 模板發送給數據庫服務器進行語法解析、編譯、優化、生成執行計劃，此時參數佔位符尚未填入數據。
2. 參數後傳：執行時才將參數值通過協議傳給服務器，服務器直接作為數據值填入已編譯的計劃，絕不再進行 SQL 解析。
3. 結果：即使用戶輸入 ' OR '1'='1，也僅作為字符串值匹配，無法改變 SQL 邏輯結構。

性能優勢：執行計劃緩存複用

• 預處理語句：相同 SQL 模板（參數不同）只編譯一次，後續直接複用執行計劃，省去重複解析優化開銷。
• 拼接 SQL：每次 SQL 文本不同，數據庫視為新語句，需完整解析優化，高併發下 CPU 明顯升高。
• PDO 模擬模式：默認 PDO::ATTR_EMULATE_PREPARES = true 由 PHP 客戶端模擬預處理（拼接轉義），建議關閉 PDO::ATTR_EMULATE_PREPARES = false 強制使用數據庫原生預處理，獲得真正的性能與安全雙重保障。

// ❌ 這不是真正的參數化查詢，本質仍是字符串拼接
$query = sprintf("SELECT * FROM users WHERE name='%s' AND pwd='%s'",
    mysql_real_escape_string($name),
    mysql_real_escape_string($pwd)
);
mysql_query($query);