本文详解如何将依赖mysql用户变量（如@grade_table）的动态表名查询，重构为符合pdo规范、可维护且安全的静态join方案，并提供完整代码示例与关键注意事项。
在使用PDO时，直接移植含MySQL用户变量（如SET @stmt = CONCAT(...) + PREPARE/EXECUTE）的动态SQL是不可行的——PDO不支持在同一连接中连续执行多条语句（如SET+PREPARE），且无法安全绑定表名或列名。更严重的是，此类动态拼接极易引发SQL注入风险，尤其当student_currentGrade来源不可信时。
正确的解决方案不是“模拟变量”，而是通过标准化SQL逻辑消除对运行时表名拼接的依赖。核心思路是：利用LEFT JOIN配合条件过滤，将原本需动态选择的g7_performance、g8_performance等分表，统一在单条查询中按student_currentGrade值精准关联。
以下是推荐的重构后SQL（兼容MySQL 5.7+，无需变量）：
SELECT
s.student_last,
s.student_first,
s.student_middle,
s.student_currentGrade,
sec.section_name
FROM students s
-- 按年级分别LEFT JOIN对应性能表，并用年级条件约束关联有效性
LEFT JOIN g7_performance g7
ON g7.student_id = s.student_id AND s.student_currentGrade = 7
LEFT JOIN g8_performance g8
ON g8.student_id = s.student_id AND s.student_currentGrade = 8
LEFT JOIN g9_performance g9
ON g9.student_id = s.student_id AND s.student_currentGrade = 9
LEFT JOIN g10_performance g10
ON g10.student_id = s.student_id AND s.student_currentGrade = 10
-- 使用COALESCE获取首个非NULL的section_id（假设学生仅属于一个年级表）
INNER JOIN sections sec
ON sec.section_id = COALESCE(g10.section_id, g9.section_id, g8.section_id, g7.section_id);✅ 优势说明：
- 完全兼容PDO：可直接用$pdo->prepare()和$stmt->execute()执行；
- 零SQL注入风险：所有表名硬编码，年级值作为普通WHERE条件参与绑定（若需参数化年级范围，可用WHERE s.student_currentGrade IN (?, ?, ?)）；
- 性能可控：MySQL优化器能为每个LEFT JOIN生成有效索引计划（确保student_id和section_id有索引）；
- 语义清晰：逻辑一目了然，便于后续维护与测试。
? PDO实现示例（修正后的getRecords方法）：
protected function getRecords() {
$sql = "SELECT
s.student_last,
s.student_first,
s.student_middle,
s.student_currentGrade,
sec.section_name
FROM students s
LEFT JOIN g7_performance g7 ON g7.student_id = s.student_id AND s.student_currentGrade = 7
LEFT JOIN g8_performance g8 ON g8.student_id = s.student_id AND s.student_currentGrade = 8
LEFT JOIN g9_performance g9 ON g9.student_id = s.student_id AND s.student_currentGrade = 9
LEFT JOIN g10_performance g10 ON g10.student_id = s.student_id AND s.student_currentGrade = 10
INNER JOIN sections sec ON sec.section_id = COALESCE(g10.section_id, g9.section_id, g8.section_id, g7.section_id)";
try {
$stmt = $this->connect()->prepare($sql);
$stmt->execute();
$results = $stmt->fetchAll(PDO::FETCH_ASSOC);
if (empty($results)) {
header('Location: ../performances.php?error=not_found');
exit();
}
return $results;
} catch (PDOException $e) {
error_log("Query failed: " . $e->getMessage());
throw new RuntimeException("Database query error");
}
}⚠️ 关键注意事项：
- 数据一致性前提：此方案严格要求每个学生仅存在于一个年级性能表中（如g7_performance或g8_performance，不可同时存在）。若业务允许跨年级记录，请补充UNION ALL或改用UNION去重；
- 索引优化：务必为各gX_performance表的student_id和section_id字段建立复合索引（如INDEX idx_student_section (student_id, section_id)）；
-
PHP调用修正：原控制器中while($row = $records)逻辑错误（$records已是数组），应直接返回：
public function loadRecords(): array { return $this->getRecords(); // 直接返回fetch结果 }
最终，放弃“用PDO执行MySQL变量脚本”的思路，转而用标准SQL表达业务逻辑，才是稳健、安全且符合现代PHP开发实践的正解。
