PHP PDO 怎样设置 ATTR_EMULATE_PREPARES 避免类型误判

PHP PDO 的 ATTR_EMULATE_PREPARES 控制预处理的实现方式，不能代替参数校验或字段类型定义。对 PDO_MYSQL，可在建立连接时显式设为 false，再为整数参数使用 bindValue(..., PDO::PARAM_INT)。查询结果的 PHP 类型还要单独看字符串化设置、驱动与 SQL 表达式。

官方地址：https://www.php.net/

把预处理模式与类型契约分开

一种容易维护的做法，是把连接策略集中在连接工厂，把参数类型留在查询代码，把结果类型转换留在数据映射层。分页条数报语法错误、编号丢失前导零、金额被变成浮点数，表面都像“类型不对”，实际属于不同边界。

PDO 属性文档说明，设置 false 表示尝试原生预处理，驱动无法原生准备某语句时仍可能回退。因此不能把这一项当成逐条语句都已原生执行的证明。本文聚焦 PDO_MYSQL；其他 PDO 驱动是否支持该属性需另查文档。

在连接处配置，在查询处绑定

PDO_MYSQL 文档说明其默认使用模拟预处理。需要固定策略时，将配置写入构造参数，避免某些连接依赖默认值、另一些连接由框架覆盖。

下面用不依赖业务表的查询展示分页整数绑定。环境变量 DB_DSN 应是自己的 MySQL DSN，并明确连接字符集；用户及密码分别通过环境变量传入。HTTP 参数只接受标量，条数范围为 1–100、偏移范围为 0–1000000。示例用于说明，没有在本文执行。

 ['min_range' => 1, 'max_range' => 100],
]);
$skip = filter_var($rawSkip, FILTER_VALIDATE_INT, [
    'options' => ['min_range' => 0, 'max_range' => 1000000],
]);
if ($take === false || $skip === false) {
    throw new InvalidArgumentException('分页参数超出允许范围');
}

// 配置从环境读取，不把账号密码写入文章或错误响应。
$dsn = getenv('DB_DSN');
$user = getenv('DB_USER');
$password = getenv('DB_PASSWORD');
if ($dsn === false || $user === false || $password === false
    || !str_starts_with($dsn, 'mysql:')) {
    throw new RuntimeException('缺少有效的 MySQL 连接配置');
}
$pdo = new PDO($dsn, $user, $password, [
    PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION,
    PDO::ATTR_EMULATE_PREPARES => false,
    PDO::ATTR_STRINGIFY_FETCHES => false,
    PDO::ATTR_DEFAULT_FETCH_MODE => PDO::FETCH_ASSOC,
]);

// SELECT 常量只演示 LIMIT 的参数绑定；正式查询替换成业务表。
$stmt = $pdo->prepare(
    'SELECT 17 AS sample_no LIMIT :take OFFSET :skip'
);
try {
    $stmt->bindValue(':take', $take, PDO::PARAM_INT);
    $stmt->bindValue(':skip', $skip, PDO::PARAM_INT);
    $stmt->execute(); // 已显式绑定，不再传入参数数组。
    $row = $stmt->fetch();
    if ($row !== false) {
        var_dump($row['sample_no'], get_debug_type($row['sample_no']));
    }
} finally {
    // 释放当前游标，方便同一连接继续执行其他语句。
    $stmt->closeCursor();
}

当偏移大于零时，这个只有一行的演示查询可能不返回行，这是分页语义，不是类型错误。业务查询还应加稳定排序。异常应由应用统一处理，在服务端保留必要的诊断信息，对外返回通用错误，避免直接显示 PDO 连接异常。

bindValue 文档允许通过第三个参数指定绑定类型；filter_var 文档说明过滤结果要按相应过滤器判断。这里使用严格比较 === false，不会把合法偏移零误当成失败。

识别三个看似省事的反例

只关掉模拟，再把所有参数放进 execute 数组

execute(['take' => 20]) 这种写法不能表达“此参数必须按整数绑定”。execute 文档将参数数组中的值按 PDO::PARAM_STR 处理。数据库有时会做隐式转换，不能把某一次能查询成功当成类型契约；对 LIMIT 等敏感位置，明确绑定更容易解释和维护。

把未校验的输入标为 PARAM_INT

绑定类型不负责检查“页大小必须在 1–100”这条规则。尤其不要先将任意输入强转为整数再校验，原始非法内容可能已经丢失。先验证输入，再绑定得到的整数，才能在边界上拒绝错误请求。

原生模式继续复用同一个命名占位符

从模拟模式迁移时，把重复名称改成两个不同参数，例如作者与审核人分别使用 :author_id、:reviewer_id，即使它们的值相同也分别绑定。prepare 文档要求每个值使用唯一标记；占位符也不能代表表名、排序方向或任意 SQL 片段。这类结构选择应来自固定白名单。

在读取边界确认返回类型

写入参数与读回字段不是同一份类型声明。关闭 ATTR_STRINGIFY_FETCHES 只是关闭强制字符串化，并不承诺所有数据库数值都有同一种 PHP 表示。先看列定义、查询表达式和运行环境，再决定数据映射层是否转换。

例如商品编码 000827 是标识文本，应保留字符串并按 PDO::PARAM_STR 绑定；精确小数应按业务精度处理，不能为了让 JSON 看起来“像数字”就统一转浮点数。超过 PHP 整数范围的编号也不要强转为 int。

prepare(
    "SELECT CAST('12.50' AS DECIMAL(6,2)) AS amount"
);
try {
    $probe->execute();
    $amount = $probe->fetchColumn();
    var_dump($amount, get_debug_type($amount));
} finally {
    $probe->closeCursor();
}

这段代码只是读者可用的观察方法，没有附上虚构输出。部署排查时，应同时记录 PHP 版本、PDO 驱动、客户端库及相关属性；不要只比较序列化后的 JSON，因为序列化层也可能改变呈现方式。

所有 PDO 驱动都能设置这个开关吗？

不能把 PDO_MYSQL 的配置推广到全部驱动。应以驱动支持的属性为准，连接封装可以统一接口，但不要忽略不支持属性的返回值或异常。

设置 false 就不需要预处理参数了吗？

仍应绑定数据值，不应把用户输入拼接进 SQL。这个开关只选择实现策略，不能替代数据与 SQL 结构分离。

关闭模拟后结果还是字符串，需要重新打开吗？

先确认问题属于结果读取，而非参数绑定。对编码、精确金额或超大编号，字符串可能正是所需表示；应让业务类型决定映射，而不是反复切换预处理模式。