やりたいこと

こうインサートしたい。

age	name
15	Danji

ヒアドキュメントに変数を直接埋め込んだ

ヒアドキュメント

$pdo = new PDO(
    'pgsql:host=localhost dbname=mydb port=5432',
    'user',
    ''
);

insert(15, 'Denji');

function insert (int $age, string $name)
{
    global $pdo;

    $sql = <<<SQL
    INSERT INTO test_function_args (age, name) VALUES ({$age}, {$name}); -- 直接変数を埋め込む
    SQL;
    $stmt = $pdo->query($sql);
}

// 結果
// インサートできない

インサートできませんでした
var_dumpしたら原因すぐわかった

var_dump($sql);
// string(62) "INSERT INTO test_function_args (age, name) VALUES (15, Denji);"
// 'Denji' じゃなくて Denji になってる

プリペアドステートメントでちゃんと書いた

プリペアドステートメント

$pdo = new PDO(
    'pgsql:host=localhost dbname=mydb port=5432',
    'user',
    ''
);

insert(15, 'Denji');

function insert (int $age, string $name)
{
    global $pdo;

    $sql = <<<SQL
    INSERT INTO test_function_args (age, name) VALUES (:age, :name);
    SQL;

    $stmt = $pdo->prepare($sql);
    $stmt->execute([
        ':age' => $age, 
        ':name' => $name
    ]);
}

// 結果
// インサートされる

インサートされました。
プリペアドステートメントちゃんと使います。

（追記）ヒアドキュメントで書けたがそもそも...

単純に変数をシングルクォーテーションで囲めばいい話だった

// 変数を''で囲めば可能
INSERT INTO test_function_args (age, name) VALUES ({$age}, '{$name}');

とはいえ、そもそもこれだとSQLインジェクションに対応できていないので、プリペアドステートメントを使いましょう。