php数据库使用时如何高效连接与防止注入？

adminZpd 专业教程 2025-12-21 10:42:44

PHP数据库使用是Web开发中的核心技能之一,它允许开发者动态存储、检索和管理数据，PHP与数据库的结合使得构建功能强大的Web应用程序成为可能，从简单的博客系统到复杂的企业级应用，都离不开数据库的支持，本文将详细介绍PHP数据库使用的基本概念、连接方式、常用操作以及最佳实践，帮助开发者更好地理解和应用这一技术。

php数据库使用时如何高效连接与防止注入？-第1张图片-99系统专家

PHP支持的数据库类型

PHP支持多种数据库系统,包括MySQL、PostgreSQL、SQLite、Oracle以及MongoDB等，MySQL是最常用的选择，尤其适合Web开发，PHP通过PDO（PHP Data Objects）和MySQLi（MySQL Improved）两种扩展与数据库交互，PDO提供了统一的接口，支持多种数据库，而MySQLi则专门针对MySQL进行了优化，支持面向过程和面向对象两种编程方式，开发者可以根据项目需求选择合适的扩展。

建立数据库连接

在使用PHP操作数据库之前,首先需要建立与数据库服务器的连接，以MySQL为例，可以通过MySQLi或PDO实现，使用MySQLi的面向对象方式时，代码如下：

$servername = "localhost";  
$username = "root";  
$password = "";  
$dbname = "test_db";  
$conn = new mysqli($servername, $username, $password, $dbname);  
if ($conn->connect_error) {  
    die("连接失败: " . $conn->connect_error);  
}

通过PDO连接的代码则更为简洁：

try {  
    $conn = new PDO("mysql:host=localhost;dbname=test_db", "root", "");  
    $conn->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);  
} catch(PDOException $e) {  
    echo "连接失败: " . $e->getMessage();  
}

建立连接后,务必在操作完成后关闭连接，以释放资源。

执行SQL查询

连接数据库后,开发者可以执行各种SQL查询，包括SELECT、INSERT、UPDATE和DELETE等，以MySQLi为例，执行查询的代码如下：

$sql = "SELECT id, name FROM users";  
$result = $conn->query($sql);  
if ($result->num_rows > 0) {  
    while($row = $result->fetch_assoc()) {  
        echo "ID: " . $row["id"]. " Name: " . $row["name"]. "<br>";  
    }  
} else {  
    echo "0 结果";  
}

使用PDO时,可以通过预处理语句（Prepared Statements）增强安全性，防止SQL注入攻击：

$stmt = $conn->prepare("SELECT id, name FROM users WHERE id = :id");  
$stmt->bindParam(':id', $id);  
$id = 1;  
$stmt->execute();  
$result = $stmt->fetchAll();

预处理语句不仅能提高安全性,还能优化查询性能。

处理查询结果

查询执行后,需要处理返回的结果集，MySQLi提供了多种获取数据的方法，如fetch_assoc()、fetch_row()和fetch_object()等，PDO则通过fetch()方法结合PDO::FETCH_ASSOC或PDO::FETCH_OBJ等参数获取数据，使用PDO获取关联数组：

php数据库使用时如何高效连接与防止注入？-第2张图片-99系统专家

while ($row = $result->fetch(PDO::FETCH_ASSOC)) {  
    print_r($row);  
}

合理处理查询结果可以确保数据以适合的方式展示或进一步处理。

数据插入与更新

除了查询,插入和更新数据也是常见的操作，使用MySQLi插入数据的示例代码如下：

$sql = "INSERT INTO users (name, email) VALUES ('John', 'john@example.com')";  
if ($conn->query($sql) === TRUE) {  
    echo "新记录插入成功";  
} else {  
    echo "Error: " . $sql . "<br>" . $conn->error;  
}

使用PDO时,推荐使用预处理语句：

$stmt = $conn->prepare("INSERT INTO users (name, email) VALUES (:name, :email)");  
$stmt->bindParam(':name', $name);  
$stmt->bindParam(':email', $email);  
$name = "John";  
$email = "john@example.com";  
$stmt->execute();

更新数据的操作与插入类似,只需将SQL语句改为UPDATE即可。

删除数据

删除数据需要谨慎操作,通常需要结合条件语句以避免误删，使用MySQLi删除数据的代码如下：

$sql = "DELETE FROM users WHERE id = 1";  
if ($conn->query($sql) === TRUE) {  
    echo "记录删除成功";  
} else {  
    echo "Error: " . $sql . "<br>" . $conn->error;  
}

同样,PDO的预处理语句可以确保删除操作的安全性：

$stmt = $conn->prepare("DELETE FROM users WHERE id = :id");  
$stmt->bindParam(':id', $id);  
$id = 1;  
$stmt->execute();

删除操作前建议先备份数据,以防数据丢失。

事务处理

事务处理是确保数据库操作一致性的重要机制,在银行转账场景中，需要同时更新两个账户的余额，任何一步失败都应回滚操作，使用PDO实现事务处理的代码如下：

php数据库使用时如何高效连接与防止注入？-第3张图片-99系统专家

try {  
    $conn->beginTransaction();  
    $conn->exec("UPDATE accounts SET balance = balance 100 WHERE id = 1");  
    $conn->exec("UPDATE accounts SET balance = balance + 100 WHERE id = 2");  
    $conn->commit();  
    echo "事务提交成功";  
} catch (Exception $e) {  
    $conn->rollBack();  
    echo "事务回滚: " . $e->getMessage();  
}

事务处理能够有效避免数据不一致的问题。