PHP操作PostgreSQL如何实现占位符查询？是否可行？

我看过很多基于MySQL的PHP SQL示例，常能看到这类带有值占位符的查询：

$query = "INSERT INTO users
(username, firstname, lastname, salutation, countrycode)
VALUES(:1, :2, :3, :4, :5)"; 

注意其中的占位符为:1、:2等。我使用PHP标准PostgreSQL扩展，当前查询直接注入变量，写法如下：

$query = "INSERT INTO users(username)
VALUES($hello)"; 

请问在PHP中使用PostgreSQL时，如何实现上述占位符技术？是否可行？

可行，且有两种主流实现方式： #

1. 原生pgsql扩展的位置占位符（推荐）

PostgreSQL原生支持$1、$2这类位置编号的占位符，PHP的原生pgsql扩展可以通过pg_query_params()函数实现参数绑定，自动处理转义，彻底避免SQL注入：

// 建立数据库连接
$conn = pg_connect("host=localhost dbname=your_db user=your_user password=your_pwd");

// 定义带位置占位符的查询语句
$query = "INSERT INTO users(username, firstname, lastname, salutation, countrycode) VALUES($1, $2, $3, $4, $5)";

// 准备要插入的参数数组，顺序需和占位符编号严格对应
$params = ['johndoe', 'John', 'Doe', 'Mr.', 'US'];

// 执行带参数的查询
$result = pg_query_params($conn, $query, $params);

// 处理执行结果
if ($result) {
    echo "数据插入成功";
} else {
    echo "插入失败：" . pg_last_error($conn);
}

// 关闭连接
pg_close($conn);

2. PDO_PGSQL的命名占位符

如果你习惯:xxx形式的命名占位符，可以使用PDO扩展连接PostgreSQL，它支持这种写法，代码可读性更高：

// 用PDO建立连接
$dsn = 'pgsql:host=localhost;dbname=your_db;user=your_user;password=your_pwd';
$pdo = new PDO($dsn);

// 定义带命名占位符的查询语句
$query = "INSERT INTO users(username, firstname, lastname, salutation, countrycode) VALUES(:username, :firstname, :lastname, :salutation, :countrycode)";

// 准备语句
$stmt = $pdo->prepare($query);

// 绑定参数并执行，参数数组的键需和占位符名称对应
$stmt->execute([
    ':username' => 'janedoe',
    ':firstname' => 'Jane',
    ':lastname' => 'Doe',
    ':salutation' => 'Ms.',
    ':countrycode' => 'CA'
]);

echo "数据插入成功";

关键提醒 #

绝对不要直接拼接变量到SQL语句中，这种写法存在严重的SQL注入风险，必须使用占位符绑定参数。原生pgsql扩展的pg_query_params()轻量高效，适合简单场景；PDO则提供了统一的数据库操作接口，适合多数据库切换的复杂场景。

内容的提问来源于stack exchange，提问作者Vinn