PHP PDO 预处理语句绑定 LIMIT 参数的写法

PHP PDO 做分页查询时，LIMIT 和 OFFSET 不是普通文本参数。比较稳妥的写法是：先把页码和每页数量归一化为非负整数，再用 bindValue 或 bindParam 明确指定 PDO::PARAM_INT。不要直接依赖 execute() 的数组参数自动推断类型。

官方资料：

https://www.php.net/pdo.prepare.php

https://www.php.net/manual/en/pdostatement.execute.php

先理解 LIMIT 占位符为什么容易出错

PDO 的占位符可以代表一个完整的数据字面量，但不能代替关键字、表名、列名或任意一段 SQL。分页参数属于可以绑定的值，不过数据库驱动仍然需要知道它应该按整数处理。

容易引起误会的是下面这种写法：

prepare($sql);

// pageSize 和 offset 虽然来自整数变量，execute() 仍不会替你声明 PDO::PARAM_INT。
$stmt->execute([
    'limit' => $pageSize,
    'offset' => $offset,
]);

execute(array) 适合快速传入一组输入值，但手册明确说明数组中的值按 PDO::PARAM_STR 处理。不同驱动或不同预处理模式下，字符串化的分页边界可能被数据库接受，也可能在 LIMIT 位置报语法错误。问题不在于占位符完全不能用于分页，而在于参数类型没有被明确表达。

把页码和数量先归一化为整数

分页输入通常来自查询字符串或表单，本质上是外部输入。先转换为整数，再限制范围，可以同时处理空值、负数和过大的单页数量。

这里的上限不是 PDO 的要求，而是应用层对单次查询规模的约束。上限应根据接口响应体、索引情况和业务页面设计决定；关键点是让绑定函数接收到稳定的整数变量。

用 bindValue 显式绑定 LIMIT 和 OFFSET

推荐在分页场景使用 bindValue，因为它直接绑定当前值，并把参数类型写在调用点，阅读代码时不容易遗漏。

setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);

// 预处理模板只放可绑定的数据值，排序列仍然写在固定 SQL 中。
$sql = 'SELECT id, title, published_at
        FROM posts
        ORDER BY id DESC
        LIMIT :limit OFFSET :offset';
$stmt = $pdo->prepare($sql);

// 明确告诉 PDO：这两个分页边界必须作为整数绑定。
$stmt->bindValue(':limit', $pageSize, PDO::PARAM_INT);
$stmt->bindValue(':offset', $offset, PDO::PARAM_INT);
$stmt->execute();

// 只读取当前页，避免一次性把结果集扩展成不必要的中间数据。
$rows = $stmt->fetchAll(PDO::FETCH_ASSOC);

命名占位符前面的冒号在 bindValue 中通常可写可不写；同一条语句中不要混用命名占位符和问号占位符，也不要重复使用同名占位符。把 limit 和 offset 写成两个名字，能让参数数量和 SQL 结构一一对应。

bindParam 和 bindValue 应该怎么选

如果参数是已经准备好的当前值，bindValue 更直观。如果希望 PDO 在执行时读取变量的最新值，可以使用 bindParam，但要记住它绑定的是变量引用。

prepare(
    'SELECT id, title FROM posts ORDER BY id DESC LIMIT :limit OFFSET :offset'
);

// 第三个参数固定为整数类型，避免按默认字符串类型发送分页边界。
$stmt->bindParam(':limit', $limit, PDO::PARAM_INT);
$stmt->bindParam(':offset', $offsetValue, PDO::PARAM_INT);
$stmt->execute();

分页方法通常不需要在执行前反复改变同一变量，因此 bindValue 往往更容易维护。两种方法都可以表达整数类型，区别主要是绑定值还是绑定引用，而不是安全级别高低。

排序字段不能用占位符替代

分页查询通常还会接收排序方向或排序字段。占位符只适合数据值，不能把 ORDER BY :column 当成动态列名绑定。动态排序应使用白名单映射，不能把原始请求直接拼接进 SQL。

 'published_at DESC',
    'oldest' => 'published_at ASC',
    'id' => 'id DESC',
];
$sortKey = (string) ($_GET['sort'] ?? 'newest');
$orderBy = $sortMap[$sortKey] ?? $sortMap['newest'];

// orderBy 来自固定白名单，limit 和 offset 仍然通过整数占位符绑定。
$sql = "SELECT id, title FROM posts ORDER BY {$orderBy} LIMIT :limit OFFSET :offset";
$stmt = $pdo->prepare($sql);
$stmt->bindValue(':limit', $pageSize, PDO::PARAM_INT);
$stmt->bindValue(':offset', $offset, PDO::PARAM_INT);
$stmt->execute();

一份可复用的分页方法

把输入归一化、排序白名单和显式绑定放在一个方法里，调用方只需要传入页码和排序选项。

 'published_at DESC',
        'oldest' => 'published_at ASC',
    ];
    $orderBy = $sortMap[$sortKey] ?? $sortMap['newest'];

    $sql = "SELECT id, title, published_at
            FROM posts
            ORDER BY {$orderBy}
            LIMIT :limit OFFSET :offset";

    // 让数据库驱动按整数理解 LIMIT 与 OFFSET，而不是依赖字符串转换。
    $stmt = $pdo->prepare($sql);
    $stmt->bindValue(':limit', $pageSize, PDO::PARAM_INT);
    $stmt->bindValue(':offset', $offset, PDO::PARAM_INT);
    $stmt->execute();

    // 返回当前页的关联数组，调用方可以继续做 DTO 或响应转换。
    return $stmt->fetchAll(PDO::FETCH_ASSOC);
}

常见问题

为什么 execute 数组传参有时也能执行？

因为驱动、数据库和预处理模式会影响字符串化参数的处理结果。能执行不代表类型表达清晰；分页边界最好统一使用显式的 PDO::PARAM_INT。

可以把 LIMIT 直接拼进 SQL 吗？

只有在输入已经完成整数归一化、范围限制并且拼接位置没有其他用户可控 SQL 片段时才考虑这种写法。一般分页代码使用占位符并显式绑定更容易审查。

OFFSET 很大时绑定类型能解决性能问题吗？

不能。显式整数绑定解决的是参数类型和语法边界；大 OFFSET 的扫描成本仍需通过稳定排序、索引设计或基于游标的分页方案处理。

小结

PDO 分页的关键不是把 LIMIT 当成特殊字符串，而是把它当成整数边界来处理：占位符保留在 SQL 模板中，外部输入先归一化，再用 bindValue(..., PDO::PARAM_INT) 或 bindParam(..., PDO::PARAM_INT) 绑定。排序字段则走白名单，不要尝试用占位符替代 SQL 标识符。