PHP循环构建MySQL查询报错：绑定变量与令牌数量不匹配

问题场景 #

尝试通过PHP循环构建查询语句，在MySQL数据库中查找匹配项，代码实现如下：

public function findMatches(array $columns, string|array $lookingFor) {

    is_array($lookingFor) ?: $lookingFor = array($lookingFor);

    $colString = '';
    $whereString = '';
    $toBind = [];

    foreach ($columns as $col) {

        $colString .= $col . ',';

        foreach ($lookingFor as $item) {

            $whereString .= $col . \" LIKE '%?%' OR ";
            
            $toBind[] = $item;

        }
    }

    $sql = 'SELECT ' . rtrim($colString, ',') . ' FROM ' . $this->table .
    ' WHERE ' . rtrim($whereString, ' OR ');
    
    $stmt = $this->dbc->prepare($sql);

    $pos = 1;

    foreach ($toBind as $val) {
        
        $stmt->bindValue($pos, $val);
        $pos++;

    }
    
    $stmt->execute();

    return $stmt->fetchAll();

}

执行时出现错误：

Fatal error: Uncaught PDOException: SQLSTATE[HY093]: Invalid parameter number: number of bound variables does not match number of tokens

错误原因 #

核心问题在于SQL语句中的占位符写法错误：'%?%'会被MySQL当成普通字符串，PDO无法识别其中的?为参数占位符。这就导致你绑定了N个变量，但SQL里实际没有对应的占位符，触发参数数量不匹配的错误。

修复方案 #

将通配符%从SQL语句转移到绑定的值中，让?作为独立的占位符被PDO识别。同时优化代码结构，让逻辑更清晰：

public function findMatches(array $columns, string|array $lookingFor) {
    // 统一转为数组处理
    if (!is_array($lookingFor)) {
        $lookingFor = [$lookingFor];
    }

    $colString = implode(',', $columns);
    $whereClauses = [];
    $toBind = [];

    foreach ($columns as $col) {
        foreach ($lookingFor as $item) {
            // 每个条件用独立占位符
            $whereClauses[] = "$col LIKE ?";
            // 把通配符和搜索值拼接后绑定
            $toBind[] = "%{$item}%";
        }
    }

    // 拼接WHERE条件，用OR连接所有子句
    $whereString = implode(' OR ', $whereClauses);
    $sql = "SELECT {$colString} FROM {$this->table} WHERE {$whereString}";
    
    $stmt = $this->dbc->prepare($sql);
    // 直接用execute绑定数组更简洁，无需手动bindValue
    $stmt->execute($toBind);

    return $stmt->fetchAll();
}

额外优化点 #

1. 用implode()替代循环拼接字符串，代码更简洁高效
2. 替换三元表达式为更易读的if判断
3. 直接通过execute($toBind)批量绑定参数，省去手动维护位置的麻烦
4. 用双引号拼接SQL中的变量，可读性更好（确保$columns和$this->table为可信值，避免SQL注入风险）

内容的提问来源于stack exchange，提问作者user19610670