为何Yii查询构建器将$year变量转换为:qp0？

这是Yii查询构建器的默认安全机制，核心原因有两个：

• 防止SQL注入攻击：直接把变量拼进SQL语句里，如果变量是用户输入的恶意内容（比如2022; DROP TABLE v_running_table;），会直接执行危险操作。用:qp0这种参数占位符，数据库会把变量当作纯数据处理，不会解析成SQL指令，从根源避免注入风险。
• 提升查询性能：当你多次执行结构相同、仅变量不同的SQL时，数据库可以复用之前生成的执行计划，不用每次重新解析SQL，效率更高。

另外，Yii查询构建器在处理where(['字段名' => 变量])这种键值对条件时，就会自动触发参数绑定逻辑，把变量替换成带前缀的占位符（:qp0是Yii自动生成的参数名，数字会随参数数量递增），最终执行时才会把$year的实际值绑定到这个参数上。

内容的提问来源于stack exchange，提问作者yai