PHP PDO::ATTR_EMULATE_PREPARES 关闭后命名参数为何不能重复：一条 SQL 的绑定边界

线上筛选接口突然报了 SQLSTATE[HY093]，代码看起来却没有拼接用户输入。最容易漏掉的地方，是把同一个命名参数写了两遍，同时又关闭了 PDO 的模拟预处理。真正稳妥的处理方式，是让一条 SQL 中的每个参数标记保持唯一，再把每个值明确交给 PDOStatement::execute。

关闭 PDO::ATTR_EMULATE_PREPARES 后，不要依赖同名参数重复绑定；把 :price 拆成 :min_price 和 :max_price，最容易验证，也最不依赖驱动差异。

先把 PDO 的两种执行边界分开

PDO::prepare 负责准备 SQL 模板，返回 PDOStatement；PDOStatement::execute 才把实际参数交给驱动。参数标记代表的是完整数据字面量，不是字段名、关键字，也不是一段可替换的 SQL。

因此，下面这种价格区间写法看似复用了一个值，实际上把同一个命名参数放在了两处：

setAttribute(PDO::ATTR_EMULATE_PREPARES, false);
$statement = $pdo->prepare(
    'SELECT id, title FROM products
     WHERE price >= :price AND price execute(['price' => 100]);

这段代码同时还有一个业务问题：下限和上限本来应该是两个值，却被压成了一个参数。先别急着把错误归因于数据库版本，先看参数标记和绑定数组是否一一对应。

重复命名参数为什么会落到 HY093

启用模拟预处理时，PDO 会在客户端解析并改写参数；关闭模拟预处理后，驱动通常要把占位符交给数据库的原生预处理路径。PHP 官方手册要求每个要传入的值使用唯一参数标记，并明确提醒同名标记不能在一条预处理语句中重复使用，除非开启模拟模式。

图中只保留这次排错真正涉及的四个节点：PDO::prepare 解析模板，PDO::ATTR_EMULATE_PREPARES 决定是否走模拟路径，PDOStatement::execute 提交参数，重复标记最终表现为 HY093。它不是在说明所有驱动都以完全相同的错误文本失败，而是在标出这类写法不具备可移植性。

把一条 SQL 改成唯一占位符

价格区间应该直接表达两个业务边界。数组键使用不带冒号的形式即可，PDO 会把它们映射到 SQL 中的命名参数：

setAttribute(PDO::ATTR_EMULATE_PREPARES, false);
$statement = $pdo->prepare(
    'SELECT id, title FROM products
     WHERE price BETWEEN :min_price AND :max_price'
);
$statement->execute([
    'min_price' => 100,
    'max_price' => 300,
]);
$products = $statement->fetchAll(PDO::FETCH_ASSOC);

这次数据路径很直：:min_price 接收 100，:max_price 接收 300，price BETWEEN 负责区间判断，结果由 fetchAll(PDO::FETCH_ASSOC) 读出。把两个边界拆开后，SQL 的意图、绑定数组和错误排查点是同一件事。

别把参数绑定当成 SQL 结构替换

参数能替换完整值，不能替换列名和排序关键字。下面的字段选择应先经过应用内白名单，再拼入 SQL；用户输入不能直接成为字段名：

prepare(
    "SELECT id, title FROM products ORDER BY $sort DESC"
);

同理，IN (:ids) 不能让一个参数承载多个列表值。应按值的数量生成唯一占位符，并把每个值单独传给 execute；列表为空时则在业务层决定返回空结果还是跳过查询。

排错时按这张小表核对

相关问题

同一个值确实要出现两次怎么办？

仍建议使用两个唯一参数，例如 :start_at 和 :end_at，即使当前两者的值相同。这样不依赖模拟预处理，也能保留 SQL 的语义边界。

数组键应该写成 :min_price 吗？

带冒号的键在部分写法中可用，但统一使用不带冒号的 min_price、max_price 更清晰，排错时也更容易和 SQL 标记逐一比对。

关闭模拟预处理是不是一定更快？

不能只凭开关下结论。它改变的是参数解析和驱动交互路径；应结合目标驱动、SQL 类型和真实负载验证，同时优先保证参数写法在原生预处理下成立。

把参数边界写进代码评审清单

遇到 HY093 时，先数 SQL 中的参数标记，再数 execute 数组里的键；随后确认有没有把字段名或列表结构塞进占位符。对价格区间这类天然有两个边界的查询，使用 :min_price、:max_price 这样的唯一命名，通常比依赖模拟预处理兼容重复标记更稳。