上一篇
PHP中插入数据库，常用MySQLi或PDO扩展连接后执行SQL语句实现数据插入。
是关于如何在PHP中插入数据库的详细指南,涵盖两种主流方式（MySQLi和PDO），并附有完整示例及安全最佳实践：
基础准备工作
在进行数据库操作前,需确保满足以下条件：
- 已安装Web服务器环境（如Apache/Nginx + PHP）；
- 目标数据库存在且可访问（例如MySQL/MariaDB）；
- 创建好用于存储数据的表结构，假设有一个名为
users的表，包含字段：id（自增主键）、username（VARCHAR）、email（VARCHAR）、created_at（TIMESTAMP）。
使用MySQLi扩展实现插入
步骤说明与代码示例
| 阶段 | 操作描述 | 对应代码片段 | 注意事项 |
|---|---|---|---|
| 建立连接 | 通过new mysqli()实例化对象，传入主机名、用户名、密码和数据库名 |
$conn = new mysqli("localhost", "root", "your_password", "test_db"); |
确保参数顺序正确，建议使用常量存储敏感信息 |
| 检查错误 | 调用connect_errno判断是否成功联网 |
if ($conn->connect_errno) die("连接失败: " . $conn->connect_error); |
生产环境应记录日志而非直接输出 |
| 构建SQL语句 | 编写带占位符的INSERT命令 | $sql = "INSERT INTO users (username, email, created_at) VALUES (?, ?, NOW())"; |
避免动态拼接用户输入内容到SQL中 |
| 初始化预处理语句 | 使用stmt_init创建可复用的执行计划 |
$stmt = $conn->prepare($sql); |
PDO也支持类似机制但语法略有差异 |
| 绑定参数类型 | 明确指定每个问号对应的数据类型 | $stmt->bind_param("ss", $_POST['name'], $_POST['email']); |
‘s’表示字符串类型，其他选项包括i(整型),d(双精度),b(blob)等 |
| 执行与反馈 | 触发实际写入并验证受影响行数 | $result = $stmt->execute(); echo "成功插入".$stmt->affected_rows."条记录"; |
affected_rows属性可确认操作有效性 |
| 资源释放 | 关闭所有打开的句柄和链接 | $stmt->close(); $conn->close(); |
遗忘释放可能导致连接池耗尽 |
完整案例演示
<?php
// 接收前端表单提交的数据
$name = filter_input(INPUT_POST, 'name', FILTER_SANITIZE_STRING);
$email = filter_input(INPUT_POST, 'email', FILTER_VALIDATE_EMAIL);
// 创建数据库连接
$mysqli = new mysqli("localhost", "dbuser", "securepass", "mydatabase");
if ($mysqli->connect_error) {
trigger_error("数据库连接失败: " . $mysqli->connect_error, E_USER_ERROR);
exit;
}
// 准备安全的预处理语句
$prepared_statement = $mysqli->prepare("INSERT INTO contacts (fullname, address) VALUES (?, ?)");
if (!$prepared_statement) {
trigger_error("预处理失败: " . $mysqli->error, E_USER_WARNING);
} else {
// 按顺序绑定经过验证的变量
$prepared_statement->bind_param('ss', $name, $email);
// 执行插入操作并检查结果
if ($prepared_statement->execute()) {
echo htmlspecialchars("新联系人已添加！ID为: " . $mysqli->insert_id);
} else {
echo "数据保存过程中发生错误: " . htmlspecialchars($prepared_statement->error);
}
}
// 确保始终清理资源
$prepared_statement->close();
$mysqli->close();
?>
采用PDO方式的优势实践
相比传统MySQL函数库,PDO提供更统一的API设计，特别适合多数据库兼容场景：
try {
// DSN格式：引擎://主机:端口/数据库名称?charset=utf8mb4&options...
$pdo = new PDO('mysql:host=localhost;dbname=mydb;charset=utf8mb4', 'appuser', 'complex@Passw0rd');
$pdo->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION); // 开启异常模式
// 自动提交事务管理
$pdo->beginTransaction();
$insertQuery = $pdo->prepare("INSERT INTO products (title, price, stock) VALUES (:title, :price, :stock)");
$insertQuery->execute([
':title' => trim($_POST['product_title']),
':price' => (float)$_POST['unit_price'],
':stock' => max(0, intval($_POST['quantity'])) // 确保非负库存
]);
$lastInsertId = $pdo->lastInsertId(); // 获取自增ID
$pdo->commit();
echo "商品{$lastInsertId}上架成功！";
} catch (PDOException $e) {
// 精细化的错误处理流程
error_log("数据库操作异常: " . $e->getMessage()); // 记录详细日志
echo "系统繁忙，请稍后再试"; // 用户友好提示
if (isset($pdo)) $pdo->rollBack(); // 回滚未完成的事务
}
关键特性对比表
| 功能点 | MySQLi | PDO |
|---|---|---|
| API一致性 | 仅适用于MySQL家族 | 支持多种数据库后端 |
| 错误处理机制 | 基于传统警告系统 | 抛出面向对象的异常 |
| 参数绑定方式 | 位置绑定（按顺序） | 命名绑定（关联数组键值对） |
| 事务控制 | 需要手动开启/提交 | 内置完整ACID事务支持 |
| 性能优化空间 | 有限 | 可配置持久连接池 |
| 学习曲线 | 相对平缓 | 初期稍复杂但长期收益更高 |
安全防护要点归纳
- 永远不要信任用户输入：即使看似无害的数据也可能携带反面指令；
- 优先选择预处理语句：这是防御SQL注入的最有效手段；
- 实施严格的数据过滤：结合PHP内置过滤器函数（如
filter_var()）进行二次校验； - 最小权限原则：为应用程序分配仅限必要的数据库操作权限；
- 敏感信息保护：永远不在前端展示原始错误详情，防止信息泄露。
FAQs相关问答
Q1：为什么推荐使用预处理语句而不是直接拼接SQL？
A：预处理语句通过将SQL结构与数据分离，使数据库驱动自动处理特殊字符转义，从根本上杜绝了SQL注入攻击的可能性，它还会带来性能提升，因为相同的SQL模板只需解析一次。
Q2：如何处理插入时的重复键冲突？
A：可以通过两种方式解决：①在表中设置唯一索引并捕获IntegrityConstraintViolationException异常；②先执行SELECT查询判断是否存在重复记录，推荐采用第一种方案配合事务回滚机制，既能保证原子性又能提高执行效率，对于高并发场景，还可考虑乐观锁机制
