PHP新手求助：反馈表单SQL注入防护及PDO绑定参数报错解决

嘿，作为PHP新手碰到SQL注入防护的问题太正常了，我来一步步帮你梳理清楚~

首先看你的初始代码问题 #

你最开始的代码直接把用户提交的$_POST['message']拼接到SQL语句里：

$sql = "INSERT INTO tbl_contact (message) VALUES ('$message')";

这是高危的SQL注入风险！如果用户输入类似'); DROP TABLE tbl_contact; --这样的内容，直接就能删掉你的数据表，非常危险。

你尝试预处理时的错误原因 #

你后来改用预处理语句时出现Uncaught Error: Call to undefined method PDOStatement::bind_param()，是因为搞混了PDO和mysqli的API：

• bind_param()是mysqli扩展的方法，而你用的是PDO扩展，PDO里对应的绑定方法是bindParam()/bindValue()，更简单的是直接在execute()里传参数组。

正确的PDO预处理写法（也就是你最终解决的版本） #

这个写法完美规避了SQL注入，我再给你解释下关键要点：

<?php 
if(isset($_POST["send_message"])){ 
    $dbConnection = new PDO('mysql:dbname=sondagg9_submit;host=localhost;charset=utf8', 'sondagg9_travadm', 'Mc%F}SrGk5m5#t<Crb4?'); 
    $dbConnection->setAttribute(PDO::ATTR_EMULATE_PREPARES, false); 
    $dbConnection->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION); 

    $stmt = $dbConnection->prepare('INSERT INTO tbl_contact (message) VALUES (:message)'); 
    $stmt->execute([ 
        'message' => $_POST['message'] 
    ]); 
} 
?>

• prepare()方法会先创建一个SQL模板，:message是命名占位符，和数据分开解析
• execute()方法传入关联数组，PDO会自动把数据安全地绑定到占位符上，完全避免了SQL注入
• 设置PDO::ATTR_EMULATE_PREPARES => false：强制数据库使用真实的预处理语句，而不是PHP模拟的，进一步提升安全性
• 设置PDO::ERRMODE_EXCEPTION：让PDO抛出异常，方便你调试错误
• 连接字符串里指定charset=utf8：避免字符编码相关的安全问题和乱码

内容的提问来源于stack exchange，提问作者timo.design