PHP PDO 动态SQL查询中的参数绑定策略

$sql = "SELECT count(*) FROM users WHERE username = :newusername";
$statement = $databaseConnection->prepare($sql);
$statement->bindParam(":newusername", $newUsername, PDO::PARAM_STR);
$statement->execute();

<?php
// 假设 $databaseConnection 是一个已建立的 PDO 数据库连接
// 假设 $newSuspensionSetting, $newUsername, $newPassword, $permanentIDOfUserToChange
// 是从用户输入或其他逻辑中获取的变量，且 $newUsernameHasBeenSet, $newPasswordHasBeenSet 是布尔标志

$params = []; // 步骤1: 初始化一个空数组来存储所有参数

$sql = "UPDATE users SET suspended = :newsuspensionsetting";
$params['newsuspensionsetting'] = $newSuspensionSetting; // 步骤3: 添加第一个参数

// 示例条件：如果设置了新用户名
if (isset($newUsernameHasBeenSet) && $newUsernameHasBeenSet) {
    $sql .= ", username = :newusername"; // 步骤2: 动态构建SQL
    $params['newusername'] = $newUsername; // 步骤3: 添加新用户名参数
}

// 示例条件：如果设置了新密码
if (isset($newPasswordHasBeenSet) && $newPasswordHasBeenSet) {
    $newPassword = password_hash($newPassword, PASSWORD_DEFAULT); // 密码哈希处理
    $sql .= ", password = :newpassword"; // 步骤2: 动态构建SQL
    $params['newpassword'] = $newPassword; // 步骤3: 添加新密码参数
}

$sql .= " WHERE permanent_id = :permanentidofusertochange"; // 步骤2: 动态构建SQL
$params['permanentidofusertochange'] = $permanentIDOfUserToChange; // 步骤3: 添加 WHERE 条件参数

try {
    // 步骤4: 准备SQL语句
    $statement = $databaseConnection->prepare($sql);

    // 步骤5: 绑定参数并执行
    foreach ($params as $key => $value) {
        // bindParam 要求传入变量的引用，因此这里直接使用 $params[$key]
        // 如果值是字面量或不希望引用，可以使用 bindValue
        $statement->bindParam(":" . $key, $params[$key]);
    }

    $statement->execute();

    echo "用户更新成功！";

} catch (PDOException $e) {
    error_log("数据库操作失败: " . $e->getMessage()); // 记录错误日志
    echo "操作失败，请稍后再试。"; // 向用户显示通用错误信息
}
?>

// ... (之前的代码保持不变，直到 prepare)

// 步骤5: 绑定参数并执行 (使用 bindValue)
foreach ($params as $key => $value) {
    $statement->bindValue(":" . $key, $value);
}
$statement->execute();