PDO 中使用正则表达式（REGEXP）时的参数绑定正确写法

PDO 查询中用 REGEXP 做正则匹配时，参数绑定其实是个极容易踩坑的点。一个小细节——问号加没加引号——就能让你对着“Invalid parameter number”愣半天。今天专门拆开聊清楚。

在 PDO 中使用 MySQL 的 REGEXP 操作符进行模糊匹配时，有一个经常被忽略的要点：参数占位符 ? 绝不能加引号。一旦写成 REGEXP '?'，PDO 就再也认不出这是个预处理的参数位了，而是老老实实把它当成普通字符串字面量——于是，“Invalid parameter number”错误就这么来了。

先看一段能跑的代码：

$query = "SELECT * FROM tags AS t
          LEFT JOIN images AS i ON i.id = t.image
          WHERE t.tag REGEXP ?";
$args = ['apple']; // 支持完整正则语法，如 'apples?|orange'
$stmt = $pdo->prepare($query);
$stmt->execute($args);
$results = $stmt->fetchAll();

错误的原因也很简单：

// ❌ 错误：'?' 是字符串字面量，不是参数占位符
$query = "WHERE t.tag REGEXP '?'";
// PDO 找不到可绑定的参数 → Invalid parameter number

这里特意标出来了——REGEXP '?' 里那个问号，带了引号，是字符串字面量，不是占位符。PDO 自然就不知道去绑定哪个参数了。

关于实际开发中怎么用好 REGEXP + 参数绑定，精心整理了下面几点：

• 占位符必须裸露。REGEXP 后直接跟 ?，不能加单引号，也不能有其他符号干扰，PDO 才能正确解析为位置参数。
• 动态构建多关键词正则时（比如要匹配 apple|banana|cherry），应当在 PHP 层拼好正则模式再绑定，千万不能在 SQL 里直接拼接字符串——那不光语法容易出问题，SQL 注入的风险也跟着来了：

$keywords = ['apple', 'banana', 'cherry'];
$pattern = implode('|', array_map(fn($k) => preg_quote($k, '/'), $keywords));
$args = [$pattern];
$query = "WHERE t.tag REGEXP ?";

• 大小写问题：MySQL 的 REGEXP 是否区分大小写，取决于字段的校对规则。如果想让匹配忽略大小写，可以用 REGEXP BINARY 显式控制，或者统一转换：LOWER(t.tag) REGEXP LOWER(?)。
• 性能方面得留个心眼：正则查询是出了名的索引杀手。REGEXP 无法有效利用索引，数据量一大，效果就很明显。高频场景下，建议结合全文索引或前置分词方案来优化。

总结下来其实就一条核心原则——占位符必须裸露、不加引号、不嵌套在字符串里。REGEXP ? 是规范又安全的写法；而 '?'、"??" 或者 "REGEXP '$keyword'" 这种拼接方式，既容易报错，又有严重的注入风险。坚持参数化，一个细节到位，功能、安全、可维护性全都有了。