PDO执行预处理：

预处理的语法

服务器发送一条sql给mysql服务器，mysql服务器会解析这条sql。

$pdo->prepare('select * from table1 where id=:id'); 

服务器发送一条sql给mysql服务器，mysql服务器不会解析这条sql，只会把execute的参数当做纯参数赋值给上面的模板。
哪怕参数中有sql命令也不会被执行，从而实现防治sql注入。

$pdo->execute([':id'=>10]);

注意：为了让mysql服务器去拼凑sql，而不是web server去拼凑，必须在创建pdo对象的时候加个参数：

这个参数叫模拟prepare，默认是TRUE，意思是让web server代替mysql去做prepare，达到模拟prepare的作用。(web server实现模拟prepare的原理其实也就是底层用系统函数自行拼凑sql，和手动拼凑没区别，所以还是会把危险的sql拼凑进去，然后给mysql服务器执行，依然会被sql注入)

所以ATTR_EMULATE_PREPARES必须设置为FALSE。

$this->_pdo->setAttribute(PDO::ATTR_EMULATE_PREPARES, FALSE);