PHP PDO单语句执行删除插入操作抛出42000语法异常

PDO默认禁止在单次预处理语句中执行多条SQL语句，这是驱动层面的安全防护设计，用来阻断堆叠查询类SQL注入攻击，和你用命名占位符还是问号占位符、MariaDB版本、操作系统都没有关系。你遇到的语法错误，本质是驱动解析到第一条语句结束的分号后，就停止解析后续内容，把后面的INSERT语句当成非法语法抛出错误。

按推荐优先级从高到低排列：

• 优先使用单语句实现等价逻辑：你的需求是匹配id删除旧行后插入新行，完全可以用MariaDB原生支持的REPLACE INTO语法单句实现，不需要执行多条语句：

  REPLACE INTO `table` (id, col1, col2, col3, col4, col5) 
  VALUES (:id, :col1, :col2, :col3, :col4, :col5);
  

  该语句会自动判断主键/唯一索引（此处为id）是否存在，存在则先删除旧记录再插入新记录，和你写的先删后插逻辑完全一致。注意：如果表设置了关联外键，REPLACE触发的删除操作会遵循你配置的外键级联规则，使用前请确认符合业务预期。
• 拆分为两次独立的预处理执行：这是生产环境最通用、最安全的写法，没有额外的注入风险，也不需要修改PDO配置：

  // 执行删除
  $del = $pdo->prepare("DELETE FROM `table` WHERE id = :id");
  $del->execute([':id' => $id]);
  // 执行插入
  $ins = $pdo->prepare("INSERT INTO `table` (col1,col2,col3,col4,col5) VALUES (:col1,:col2,:col3,:col4,:col5)");
  $ins->execute([
      ':col1' => $v1,
      ':col2' => $v2,
      ':col3' => $v3,
      ':col4' => $v4,
      ':col5' => $v5
  ]);
  

• 手动开启多语句支持（不推荐）：如果确实需要合并多条语句到一次预处理执行，必须在初始化PDO连接时传入PDO::MYSQL_ATTR_MULTI_STATEMENTS => true配置，该属性无法在连接建立后通过setAttribute()修改：

  $pdo = new PDO(
      'mysql:host=127.0.0.1;dbname=你的数据库名;charset=utf8mb4',
      '数据库用户名',
      '数据库密码',
      [PDO::MYSQL_ATTR_MULTI_STATEMENTS => true]
  );
  

  风险提示：开启多语句支持会大幅提升SQL注入风险，非必要不要开启，开启后必须严格校验所有传入参数，禁止任何形式的SQL拼接。

内容的提问来源于stack exchange，提问作者SakoMurad