问题

我知道使用prepared语句可以防止注入，因为prepared语句的执行包括两个阶段：prepare和execute。
好的，但是如果一个绑定参数值被用作mysql中的用户定义变量，我并没有真正了解到底发生了什么。
在步骤2中，最初的安全边界参数进程是否可以用于执行（并因此注入）？

// The user input that may be the target for injection
$userInput = "input";

// STEP 1 -------------------
$q = "SET @param1 = :param1;";  

// Execute query to set mysql user-defined variables
$param = [
'param1'    => $userInput
];

$stmt = $pdo->prepare($q);
$stmt->execute($param);

// STEP 2 -------------------
// Query DB with User-Defined Variables
$q = "
SELECT ...
WHERE 
table.field1 = @param1 OR
table.field2 = @param1 OR
table.field3 = @param1
";

// Query
$stmt = $pdo->query($q);

// STEP 3 -------------------   
// Fetch Data
$row = $stmt->fetch();

为什么我要使用这种方法？

我使用它来避免多个类似的命名参数，如下例所示
除非启用了仿真模式，否则不能在准备好的语句中多次使用同名的命名参数标记
从手动。对于复杂的查询，维护起来很混乱：

$q = "
SELECT ...
WHERE 
table.field1 = :param1_1 OR
table.field2 = :param1_2 OR
table.field3 = :param1_2
";

$param = [
'param1_1'  => $userInput
'param1_2'  => $userInput
'param1_3'  => $userInput
];

$stmt = $pdo->prepare($q);
$stmt->execute($param);