MySQL保存含特殊字符数据时SQL语法错误修复方案

你的问题出在自定义Db类的参数绑定逻辑完全错误，根本没有正确利用PDO的预处理功能来自动转义特殊字符。你手动用\x7F分隔参数名和值，然后在Init方法里拆分后调用bindParam的方式是错误的——bindParam要求第二个参数是变量引用，而你直接传了字符串值，这会导致PDO无法正确处理参数转义，最终让特殊字符直接暴露在SQL语句中，引发语法错误。

另外，你的Connect方法里重复设置字符集（既在DSN里加了charset=utf8，又执行SET NAMES utf8，还在options里加了MYSQL_ATTR_INIT_COMMAND），虽然不是直接原因，但属于冗余代码，也应该修正。

我们需要彻底重构参数绑定的逻辑，让它正确使用PDO的原生功能：

1. 修正bind和bindMore方法 #

去掉手动分隔符的逻辑，直接把参数存储为键值对，键是不带冒号的参数名：

private $_parameters = [];

public function bind($para, $value) {
    // 直接存储参数名和对应的值，键不带冒号
    $this->_parameters[$para] = $value;
}

public function bindMore($parray) {
    if (is_array($parray)) {
        // 合并到参数数组，覆盖已有键
        $this->_parameters = array_merge($this->_parameters, $parray);
    }
}

2. 重构Init方法的参数绑定逻辑 #

直接使用PDOStatement::execute的参数数组功能，或者用bindValue（比bindParam更适合直接传值的场景）：

private function Init($query, $parameters = []) {
    if (!$this->_bConnected) {
        // 修正无参Connect调用的错误，传入连接参数
        $this->Connect($this->_hostname, $this->_database, $this->_username, $this->_password, $this->_port);
    }
    try {
        $this->_sQuery = $this->_pdo->prepare($query);
        $this->bindMore($parameters);
        
        // 直接用execute传入参数数组，PDO会自动处理转义和绑定
        if (!empty($this->_parameters)) {
            $this->success = $this->_sQuery->execute($this->_parameters);
        } else {
            $this->success = $this->_sQuery->execute();
        }
    } catch (PDOException $e) {
        $this->ExceptionLog($e->getMessage(), $query);
        // 重新抛出异常，让上层感知错误
        throw $e;
    }
    // 清空参数数组，避免下一次查询污染
    $this->_parameters = [];
}

3. 修正Connect方法的冗余字符集设置 #

保留DSN里的charset=utf8mb4（推荐用utf8mb4支持emoji等全字符），去掉重复的字符集设置，同时关闭模拟预处理提升安全性：

private function Connect($hostname, $database, $username, $password, $port) {
    try {
        // 推荐使用utf8mb4支持更全面的字符编码
        $dsn = "mysql:host={$hostname};dbname={$database};port={$port};charset=utf8mb4";
        $options = [
            \PDO::ATTR_ERRMODE => \PDO::ERRMODE_EXCEPTION,
            \PDO::ATTR_DEFAULT_FETCH_MODE => \PDO::FETCH_ASSOC,
            // 关闭模拟预处理，让数据库真正执行预处理，更安全
            \PDO::ATTR_EMULATE_PREPARES => false
        ];
        $this->_pdo = new \PDO($dsn, $username, $password, $options);
        $this->_bConnected = true;
    } catch (\PDOException $ex) {
        $this->_psException->registerError("Failed to connect to the database: " . $ex->getMessage());
        throw $ex; // 抛出异常，让上层感知连接失败
    } catch (\Exception $e) {
        $this->_psException->registerError("Failed to connect to the database: " . $e->getCode() . "." . $e->getMessage());
        throw $e;
    }
}

4. 其他小修正 #

• 去掉Connect方法中重复的SET NAMES utf8调用，DSN里的charset参数已经足够；
• 在异常处理中重新抛出异常，避免错误被静默处理，方便调试；
• 关闭ATTR_EMULATE_PREPARES，让数据库真正执行预处理，进一步提升安全性和稳定性。

你原来的绑定逻辑是把参数名和值用\x7F拼接后存储，然后拆分调用bindParam，但：

1. bindParam的第二个参数需要是变量引用，你直接传字符串值，PDO无法正确完成绑定；
2. 这种手动拼接拆分的方式完全绕开了PDO的自动转义机制，导致特殊字符（比如单引号）直接出现在SQL语句中，破坏了SQL语法结构，引发1064语法错误。

修复后，PDO会自动处理所有参数的转义，不管值里有什么特殊字符，都不会破坏SQL语法，同时也彻底避免了SQL注入风险。

内容的提问来源于stack exchange，提问作者trafiek