PHP PDO语句语法错误求助：使用用户变量后报1064错误

嘿，我来帮你搞定这个问题！你遇到的SQLSTATE[42000]语法错误，核心原因是PDO默认不允许一次性执行多个SQL语句——你把SET @did = ...和INSERT ...拼在了同一个SQL字符串里，数据库会把整个内容当成单条语句解析，自然就报错了。

问题根源拆解 #

你原本想用用户变量减少重复绑定参数的工作量，但PDO的prepare()方法默认不支持多语句执行（也就是用分号分隔多个SQL命令），这是出于安全考虑（防止SQL注入），所以直接拼接多个语句会触发语法错误。

解决方案推荐 #

方案1：直接重复使用参数（最安全推荐）

其实PDO完全允许在同一个SQL语句中重复使用同一个参数名，不用怕重复绑定的麻烦，而且这种方式最安全、最简洁。修改你的SQL语句如下：

private function saveDeviceData($userID,$deviceID,$deviceName,$deviceOS,$deviceOSVersion) {
    $sql = "INSERT INTO userDevice (userID, deviceID, deviceName, deviceOS, deviceOSVersion, timestamp) 
            VALUES(:uid, :did, :dname, :dos, :dver, NOW())
            ON DUPLICATE KEY UPDATE 
                deviceID = :did, 
                deviceName = :dname, 
                deviceOS = :dos, 
                deviceOSVersion = :dver, 
                timestamp = NOW()";
    try {
        $ps = $this->db->prepare($sql);
        $ps->bindParam(":uid",$userID, PDO::PARAM_INT);
        $ps->bindParam(":did",$deviceID, PDO::PARAM_STR);
        $ps->bindParam(":dname",$deviceName, PDO::PARAM_STR);
        $ps->bindParam(":dos",$deviceOS, PDO::PARAM_STR);
        $ps->bindParam(":dver",$deviceOSVersion, PDO::PARAM_STR);
        $ps->execute();
        return TRUE;
    } catch (PDOException $e) {
        $this->error("PDO Error: ".$e->getMessage());
        $this->validationError($this->kInvalidEmailOrPasswordMessage);
        return FALSE;
    }
}

MySQL驱动完全支持重复使用参数名，这样既达到了减少代码冗余的目的，又避免了多语句的问题。

方案2：分开执行两条SQL语句（如果一定要用用户变量）

如果你坚持要用用户变量，那可以把SET和INSERT语句分开执行，确保它们是两个独立的PDO操作：

private function saveDeviceData($userID,$deviceID,$deviceName,$deviceOS,$deviceOSVersion) {
    try {
        // 先执行SET语句初始化用户变量
        $sqlSet = "SET @did = :did, @dname = :dname, @dos = :dos, @dver = :dver;";
        $psSet = $this->db->prepare($sqlSet);
        $psSet->bindParam(":did",$deviceID, PDO::PARAM_STR);
        $psSet->bindParam(":dname",$deviceName, PDO::PARAM_STR);
        $psSet->bindParam(":dos",$deviceOS, PDO::PARAM_STR);
        $psSet->bindParam(":dver",$deviceOSVersion, PDO::PARAM_STR);
        $psSet->execute();

        // 再执行INSERT语句
        $sqlInsert = "INSERT INTO userDevice (userID, deviceID, deviceName, deviceOS, deviceOSVersion, timestamp) 
                      VALUES(:uid, @did, @dname, @dos, @dver, NOW())
                      ON DUPLICATE KEY UPDATE 
                          deviceID = @did, 
                          deviceName = @dname, 
                          deviceOS = @dos, 
                          deviceOSVersion = @dver, 
                          timestamp = NOW()";
        $psInsert = $this->db->prepare($sqlInsert);
        $psInsert->bindParam(":uid",$userID, PDO::PARAM_INT);
        $psInsert->execute();

        return TRUE;
    } catch (PDOException $e) {
        $this->error("PDO Error: ".$e->getMessage());
        $this->validationError($this->kInvalidEmailOrPasswordMessage);
        return FALSE;
    }
}

注意：这种方式依赖同一个数据库连接的会话状态，在高并发场景下可能存在变量被覆盖的风险，所以不如方案1稳妥。

方案3：开启PDO多语句支持（不推荐）

你可以在PDO连接时开启PDO::MYSQL_ATTR_MULTI_STATEMENTS属性来允许多语句执行，但强烈不推荐——这会大幅增加SQL注入的风险，除非你能100%确保所有参数都被安全过滤。连接示例：

$db = new PDO('mysql:host=localhost;dbname=test', 'user', 'pass', [
    PDO::MYSQL_ATTR_MULTI_STATEMENTS => true
]);

再次强调：这个方法有安全隐患，尽量不要用。

额外检查点 #

别忘了确认你的userDevice表中，userID和deviceID组合（或者其中某一个）设置了唯一索引——ON DUPLICATE KEY UPDATE只有在触发唯一键冲突时才会执行更新操作，否则只会插入新数据。

内容的提问来源于stack exchange，提问作者Simon