PHP中pg_query_params是否处理非字符串参数？类型规则何处可查？

pg_query_params 的参数处理规则 #

pg_query_params 底层调用PostgreSQL的libpq库PQexecParams函数，参数处理逻辑如下：

• 字符串类型：自动完成转义并包裹单引号，无需手动处理，从根源避免SQL注入
• 数字类型（int/float）：直接转换为SQL数字字面量，不添加引号
• NULL值：直接替换为SQL的NULL关键字
• 布尔值：PHP的true映射为SQL的TRUE，false映射为FALSE，均为无引号的SQL关键字
• 数组类型：不支持直接传入，传入会触发警告且绑定失败，需手动转换为ARRAY[...]这类SQL数组表达式后再处理

规则出处 #

• PHP官方文档虽未详细枚举，但pg_query_params的行为完全依赖底层libpq库的PQexecParams逻辑，该函数会根据参数的PHP类型映射到PostgreSQL对应数据类型，完成安全适配
• 可通过查看php-pgsql扩展的C源码，确认PHP变量到libpq参数的转换逻辑

mysqli 对应方法（mysqli_stmt_bind_param）的行为 #

mysqli的预处理绑定需要显式指定参数类型（i=int、d=double、s=string、b=blob），处理逻辑：

• 按指定类型强制转换参数：比如指定i时，字符串格式的数字会转为int；指定s时，数字会转为带引号的字符串
• NULL值：绑定传null时，会转为SQL的NULL，需确保类型匹配
• 布尔值：指定i则true转1、false转0；指定s则转带引号的'true'/'false'
• 数组：不支持直接绑定，需手动拆分参数或转换为合适的SQL格式

PDO 对应方法（bindParam/execute）的行为 #

PDO支持自动类型推断（可通过PDO::ATTR_EMULATE_PREPARES控制预处理模式）：

• 非模拟预处理（数据库端处理）：
  • 字符串：自动转义并加引号
  • 数字：转为无引号的数字字面量
  • NULL：映射为SQL的NULL
  • 布尔值：PostgreSQL驱动下转为TRUE/FALSE关键字；MySQL驱动下通常转为1/0
  • 数组：PostgreSQL驱动支持直接绑定为SQL数组类型；MySQL驱动需手动处理
• 模拟预处理（PHP端处理）：参数会在PHP端完成转义拼接，行为与非模拟模式基本一致，但依赖PHP的转义逻辑

内容的提问来源于stack exchange，提问作者George Kourtis