从XML导入字符串到MySQL时偶发PDOException 1064语法错误排查

嘿，这个问题我太熟了！导致你遇到SQLSTATE[42000] 1064语法错误的罪魁祸首，就是标题里的**&符号**。

为什么&会搞砸SQL？ #

你现在用的是直接把变量拼进SQL语句的写法，这种方式下，SQL解析器会把字符串里的&当成位运算符，而不是标题文本的一部分。举个实际的例子，假设你的插入代码是这样的：

$sql = "INSERT INTO order_items (product_title) VALUES ('$productTitle')";

当$productTitle是Shoes & Sandals (Black, Adult-M US (7~10)/ EU (39~43))时，拼接后的SQL就变成了：

INSERT INTO order_items (product_title) VALUES ('Shoes & Sandals (Black, Adult-M US (7~10)/ EU (39~43))')

数据库看到'Shoes' & 'Sandals ...'这部分，会以为你在执行位运算操作，完全不符合INSERT语句的语法逻辑，自然就报错了。

彻底解决的正确姿势：用PDO预处理语句（参数绑定） #

直接拼接变量不仅会踩这种特殊字符的坑，还会带来致命的SQL注入风险。换成PDO的预处理绑定机制，能一次性解决所有问题——数据库会自动帮你处理特殊字符的转义，根本不用手动排查哪些字符有问题：

// 假设你已经初始化了PDO连接实例$pdo
$productTitle = "Shoes & Sandals (Black, Adult-M US (7~10)/ EU (39~43))";

// 1. 编写带占位符的SQL
$sql = "INSERT INTO order_items (product_title) VALUES (:title)";

// 2. 预处理语句
$stmt = $pdo->prepare($sql);

// 3. 绑定参数并执行
$stmt->bindParam(':title', $productTitle, PDO::PARAM_STR);
$stmt->execute();

或者更简洁的写法，直接把参数数组传给execute()：

$stmt = $pdo->prepare("INSERT INTO order_items (product_title) VALUES (?)");
$stmt->execute([$productTitle]);

额外提醒 #

除了&，像单引号'、双引号"、反斜杠\这类字符，只要用直接拼接的方式都可能触发语法错误，但预处理语句能完美覆盖所有这些场景。建议你把项目里所有直接拼接SQL的代码都改成这种预处理的写法，这是PHP操作数据库的标准最佳实践哦。

内容的提问来源于stack exchange，提问作者hayashir