使用MD5哈希密码登录时触发SQLSTATE[HY093]参数数量不匹配错误，请求代码排查

你遇到的「SQLSTATE[HY093]: Invalid parameter number」错误，核心原因是SQL语句里的占位符数量和你绑定的参数数量不匹配，同时代码里还有几处语法和逻辑错误，我来帮你拆解修复：

错误点1：SQL语句的错误拼接 #

你原来的查询语句：

$query = "SELECT * FROM customer WHERE CustomerName = :CustomerName AND CustomerPass = ".md5(CustomerPass)."";

这里有两个明显问题：

• CustomerPass没有加$前缀，会被PHP当作未定义常量处理，直接触发语法错误；
• 你直接在SQL里拼接了md5处理后的密码，没有用参数占位符，这不仅存在SQL注入风险，还导致后续绑定参数时出现数量不匹配。

错误点2：参数绑定的键名错误 #

执行语句时的参数数组：

$stmt->execute( array( 'CustomerName' => $_POST["CustomerName"], md5('CustomerPass') => $_POST["CustomerPass"] ) );

这里的md5('CustomerPass')作为键名完全不符合规则，SQL语句里根本没有对应的占位符，自然会出现「参数数量无效」的报错。

修复后的完整代码 #

下面是修正后的代码，我标注了关键修改点：

<?php
// 注意：session_start()必须放在所有输出之前，所以移到最顶部
session_start();
include_once '../database.php'; 
include_once 'reg_Customer.php'; 

if(isset($_SESSION["CustomerName"])) { 
    header("location:index.php"); 
    exit; // 跳转后一定要加exit，避免后续代码继续执行
}

try { 
    $conn = new PDO("mysql:host=$servername;dbname=$dbname", $username, $password); 
    $conn->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION); 

    if(isset($_POST["login"])) { 
        if(empty($_POST["CustomerName"]) || empty($_POST["CustomerPass"])) { 
            $message = '<label>All fields are required</label>'; 
        } else { 
            // 1. 给密码也使用参数占位符:CustomerPass，不再直接拼接SQL
            $query = "SELECT * FROM customer WHERE CustomerName = :CustomerName AND CustomerPass = :CustomerPass"; 
            $stmt = $conn->prepare($query); 
            
            // 2. 先对前端传入的密码做md5处理，再绑定到对应的占位符
            $hashedPass = md5($_POST["CustomerPass"]);
            $stmt->execute( array( 
                'CustomerName' => $_POST["CustomerName"], 
                'CustomerPass' => $hashedPass 
            ) ); 

            $count = $stmt->rowCount(); 
            if($count > 0) { 
                $_SESSION["CustomerName"] = $_POST["CustomerName"]; 
                header("location:index.php"); 
                exit; // 跳转后必须终止脚本执行
            } else { 
                $message = '<label>Wrong Username or Password</label>'; 
            } 
        } 
    } 
} catch(PDOException $error) { 
    $message = $error->getMessage(); 
} 
?>

额外提示 #

1. 安全升级建议：MD5已经是安全性极低的哈希算法，建议改用PHP官方推荐的password_hash()和password_verify()组合来处理密码，能有效抵御彩虹表攻击；
2. session启动位置：session_start()必须放在所有输出（包括include文件里的HTML或echo内容）之前，否则会触发「headers already sent」错误；
3. 错误提示优化：把错误提示改成「Wrong Username or Password」，避免泄露具体是用户名还是密码错误，提升账户安全性。

内容的提问来源于stack exchange，提问作者Hanif Nawawi