php数据库使用时如何高效连接与防止注入

教程大全 2026-01-19 12:14:13 浏览次

php 数据库使用是Web开发中的核心技能之一,它允许开发者动态存储、检索和管理数据，PHP与数据库的结合使得构建功能强大的Web应用程序成为可能，从简单的博客系统到复杂的企业级应用，都离不开数据库的支持，本文将详细介绍PHP数据库使用的基本概念、连接方式、常用操作以及最佳实践，帮助开发者更好地理解和应用这一技术。

PHP支持的数据库类型

PHP支持多种数据库系统,包括MySQL、PostgreSQL、SQLite、Oracle以及MongoDB等，MySQL是最常用的选择，尤其适合Web开发，PHP通过PDO（PHP>建立数据库连接

在使用PHP操作数据库之前,首先需要建立与数据库服务器的连接，以MySQL为例，可以通过mysqli或PDO实现，使用MySQLi的面向对象方式时，代码如下：

$servername = "localhost";$username = "root";$password = "";$dbname = "test_db";$conn = new mysqli($servername, $username, $password, $dbname);if ($conn->connect_error) {die("连接失败: " . $conn->connect_error);}

通过PDO连接的代码则更为简洁：

try {$conn = new PDO("mysql:host=localhost;dbname=test_db", "root", "");$conn->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);} catch(PDOException $e) {echo "连接失败: " . $e->getMessage();}

建立连接后,务必在操作完成后关闭连接，以释放资源。

执行SQL查询

连接数据库后,开发者可以执行各种SQL查询，包括SELECT、INSERT、UPdate和DELETE等，以MySQLi为例，执行查询的代码如下：

$sql = "SELECT id, name FROM users";$result = $conn->query($sql);if ($result->num_rows > 0) {while($row = $result->fetch_assoc()) {echo "ID: " . $row["id"]. " Name: " . $row["name"]. "
";}} else {echo "0 结果";}

使用PDO时,可以通过预处理语句（Prepared Statements）增强安全性，防止SQL注入攻击：

$stmt = $conn->prepare("SELECT id, name FROM users WHERE id = :id");$stmt->bindParam(':id', $id);$id = 1;$stmt->execute();$result = $stmt->fetchAll();

预处理语句不仅能提高安全性,还能优化查询性能。

处理查询结果

查询执行后,需要处理返回的结果集，MySQLi提供了多种获取数据的方法，如 fetch_assoc() 、 fetch_row() 和 fetch_object() 等，PDO则通过方法结合 PDO::FETCH_ASSOC 或 PDO::FETCH_OBJ 等参数获取数据，使用PDO获取关联数组：

while ($row = $result->fetch(PDO::FETCH_ASSOC)) {print_r($row);}

合理处理查询结果可以确保数据以适合的方式展示或进一步处理。

数据插入与更新

除了查询,插入和更新数据也是常见的操作，使用MySQLi插入数据的示例代码如下：

$sql = "INSERT INTO users (name, email) VALUES ('John', 'john@example.com')";if ($conn->query($sql) === TRUE) {echo "新记录插入成功";} else {echo "Error: " . $sql . "
" . $conn->error;}

使用PDO时,推荐使用预处理语句：

$stmt = $conn->prepare("INSERT INTO users (name, email) VALUES (:name, :email)");$stmt->bindParam(':name', $name);$stmt->bindParam(':email', $email);$name = "John";$email = "john@example.com";$stmt->execute();

更新数据的操作与插入类似,只需将SQL语句改为即可。

删除数据

删除数据需要谨慎操作,通常需要结合条件语句以避免误删，使用MySQLi删除数据的代码如下：

$sql = "DELETE FROM users WHERE id = 1";if ($conn->query($sql) === TRUE) {echo "记录删除成功";} else {echo "Error: " . $sql . "
" . $conn->error;}

同样,PDO的预处理语句可以确保删除操作的安全性：

$stmt = $conn->prepare("DELETE FROM users WHERE id = :id");$stmt->bindParam(':id', $id);$id = 1;$stmt->execute();

删除操作前建议先备份数据,以防数据丢失。

事务处理

事务处理是确保数据库操作一致性的重要机制,在银行转账场景中，需要同时更新两个账户的余额，任何一步失败都应回滚操作，使用PDO实现事务处理的代码如下：

try {$conn->beginTransaction();$conn->exec("UPDATE accounts SET balance = balance 100 WHERE id = 1");$conn->exec("UPDATE accounts SET balance = balance + 100 WHERE id = 2");$conn->commit();echo "事务提交成功";} catch (Exception $e) {$conn->rollBack();echo "事务回滚: " . $e->getMessage();}

事务处理能够有效避免数据不一致的问题。