PHP动态拼接SQL应跳过空条件而非拼空值，字段名须白名单校验，IN条件需动态生成占位符，NULL判断须单独处理为IS NULL。
WHERE条件为空时不要加空字符串
PHP动态拼接SQL的常见错误是：当某个参数没传，就直接拼上 AND field = '' 或 AND field IS NULL，结果查不到数据甚至报错。实际应跳过整个条件，而不是用空值占位。
正确做法是把每个条件判断封装成独立逻辑，只在满足业务条件时才追加到 $whereParts 数组里：
$whereParts = [];
if (!empty($params['status'])) {
$whereParts[] = "status = ?";
}
if (isset($params['created_after'])) {
$whereParts[] = "created_at > ?";
}
$whereSql = !empty($whereParts) ? 'WHERE ' . implode(' AND ', $whereParts) : '';
用PDO预处理避免SQL注入，别用字符串拼接字段名
用户输入的字段名（如排序字段、搜索字段）不能直接进SQL，否则极易被注入。值可以用 ? 占位，但字段名、表名、ORDER BY 子句必须白名单校验。
- 允许的字段列表写死：
$allowedFields = ['title', 'status', 'created_at']; - 用
in_array($sortField, $allowedFields, true)判断后再拼ORDER BY $sortField - WHERE 中的值一律走
PDO::prepare()+execute()传参，不拼字符串
多个IN条件要动态生成占位符
比如查一组ID：$ids = [1, 5, 9]，不能写成 "id IN (?) 然后传整个数组——PDO不认。得按数量生成对应个数的 ?。
立即学习“PHP免费学习笔记（深入）”；
