PHP 8.1升级后出现PDOException SQLSTATE[HY093]错误求助

核心问题 #

你的代码存在两个关键错误，PHP 7.4的错误处理机制对这类问题容忍度较高，未触发致命错误，但PHP 8.1对PDO参数绑定的校验更严格，直接抛出异常：

• SQL语句中没有定义任何参数占位符（比如?或命名占位符:id），但调用execute()时传入了[$_SESSION['id']]这个参数数组，导致绑定的变量数和SQL中的令牌数不匹配。
• 直接将$kundencode拼接进SQL语句，存在SQL注入风险，这本身就是错误写法，只是之前没触发报错。

PHP 7.4与8.1的差异 #

• PHP 7.4及更早版本中，当PDO执行时传入的参数数量和SQL中的占位符数量不匹配时，可能仅抛出警告而非致命错误（取决于PDO错误模式配置），代码可能继续运行。
• PHP 8.0+对PDO的参数校验进行了严格升级，这种参数不匹配的情况会直接抛出PDOException致命错误，终止代码执行。

正确的修复方案 #

需要将SQL语句改为使用参数绑定，同时确保占位符数量和传入的参数数量一致。根据业务逻辑，提供两种修复方式：

方案1：使用匿名占位符（?） #

<?php
$kundencode = $_SESSION['kdnr'];
$i = 0;
// 定义带匿名占位符的SQL
$q = $pdo->prepare("SELECT * FROM qi_rechnungen WHERE kdnr = ? ORDER BY rgnr DESC");
// 传入对应数量的参数数组
$q->execute([$kundencode]);
$res = $q->fetchAll();
foreach ($res as $row) {
    $i++;
    // 后续业务代码
?>

方案2：使用命名占位符（可读性更强） #

<?php
$kundencode = $_SESSION['kdnr'];
$i = 0;
$q = $pdo->prepare("SELECT * FROM qi_rechnungen WHERE kdnr = :kundencode ORDER BY rgnr DESC");
// 关联数组对应命名占位符
$q->execute([':kundencode' => $kundencode]);
$res = $q->fetchAll();
foreach ($res as $row) {
    $i++;
    // 后续业务代码
?>

如果业务逻辑中确实需要用到$_SESSION['id']作为查询条件，只需在SQL中添加对应占位符，并在execute()中补充参数即可，示例：

$q = $pdo->prepare("SELECT * FROM qi_rechnungen WHERE kdnr = ? AND id = ? ORDER BY rgnr DESC");
$q->execute([$kundencode, $_SESSION['id']]);

额外提示 #

• 始终使用参数绑定代替直接拼接SQL，彻底避免SQL注入攻击。
• 开发阶段可设置$pdo->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);，强制PDO抛出异常，便于及时发现问题。

内容的提问来源于stack exchange，提问作者Kayleigh