PDO查询报错SQLSTATE[HY093]：参数数量无效问题求助

错误现象 #

按「Department」「Datarange」「Employer」「Status」搜索时查询正常，但输入「name」字段内容搜索时触发以下错误：

Fatal error: Uncaught PDOException: SQLSTATE[HY093]: Invalid parameter number in /home/xyz/public_html/dir1/user3/user_lists.php:102 Stack trace: #0 /home/xyz/public_html/dir1/user3/user_lists.php(102): PDOStatement->execute() #1 {main} thrown in /home/xyz/public_html/dir1/user3/user_lists.php on line 102

注：报错行号指向$results = $stmt->fetchAll(PDO::FETCH_ASSOC);，但实际错误根源是$stmt->execute($query_params);执行时的参数不匹配问题。

关键代码问题点 #

原代码中处理name搜索的逻辑：

if ($search_params['name'] != "") {
    $query_conditions[] = "(tb_users.name LIKE :name OR tb_users.surname LIKE :name)";
    $query_params[':name'] = "%" . $search_params['name'] . "%";
}

当将条件改为仅搜索name字段时错误消失，但无法搜索姓氏：

$query_conditions[] = "(tb_users.name LIKE :name)";

错误原因 #

PDO的默认预处理模式下，SQL语句中重复使用同一个命名参数会被判定为需要绑定多次，但代码中仅绑定了一次:name参数，导致参数数量不匹配，触发HY093错误。

解决方案 #

方案一：使用不同命名参数绑定同一值（推荐） #

为name和surname分别设置不同的参数名，但绑定相同的搜索值，既保留双字段搜索功能，又符合PDO参数绑定规则：

if ($search_params['name'] != "") {
    $query_conditions[] = "(tb_users.name LIKE :name OR tb_users.surname LIKE :surname)";
    $search_value = "%" . $search_params['name'] . "%";
    $query_params[':name'] = $search_value;
    $query_params[':surname'] = $search_value;
}

方案二：开启PDO预处理模拟（不推荐） #

通过开启ATTR_EMULATE_PREPARES让PDO模拟预处理，允许重复使用同一命名参数，但此方法会失去真正预处理的SQL注入防护优势，仅建议在特殊场景下使用：

// 初始化PDO连接时添加配置
$pdo = new PDO($dsn, $username, $password, [
    PDO::ATTR_EMULATE_PREPARES => true,
    // 其他必要配置
]);

// 或在已连接的PDO实例中设置
$pdo->setAttribute(PDO::ATTR_EMULATE_PREPARES, true);

内容的提问来源于stack exchange，提问作者cornacum