PHP作为一种广泛使用的服务器端脚本语言，其与数据库的交互能力是Web开发的核心功能之一，通过PHP，开发者可以轻松地连接、查询、更新和管理数据库中的数据，从而构建动态的Web应用程序，本文将详细介绍PHP如何访问数据库服务器，涵盖连接方式、常用操作、安全注意事项以及最佳实践。
PHP连接数据库服务器的基础方法
PHP访问数据库服务器的第一步是建立与数据库的连接，根据不同的数据库类型（如MySQL、PostgreSQL、SQLite等），PHP提供了相应的扩展和函数，以MySQL为例，PHP主要支持两种连接方式：MySQL扩展和MySQLi扩展，以及PDO（PHP Data Objects）扩展，MySQL扩展是较早期的版本，现已不推荐用于新项目；MySQLi（MySQL Improved）是MySQL的增强版，提供了面向过程和面向对象两种接口；PDO则是一个轻量级的、统一的接口，支持多种数据库类型,具有更好的灵活性和可移植性。
使用MySQLi扩展连接数据库
MySQLi扩展是专门为MySQL设计的，性能较好且功能丰富，以面向对象的方式为例，首先需要创建一个mysqli对象，并传入数据库服务器的主机名、用户名、密码和数据库名等参数。$mysqli = new mysqli("localhost", "username", "password", "database");，连接成功后，可以通过$mysqli->connect_error检查是否有错误发生，如果连接失败，通常会输出错误信息并终止脚本，为了安全起见，生产环境中应避免直接显示错误信息，而是记录日志，连接建立后,就可以执行SQL语句了。
使用PDO扩展连接数据库
PDO扩展提供了一种数据访问抽象层，意味着无论使用哪种数据库，都可以使用相同的方法来执行查询和获取结果，创建PDO连接时，需要指定数据源名称（DSN）、用户名和密码，DSN的格式因数据库类型而异，例如MySQL的DSN为mysql:host=localhost;dbname=database，创建PDO对象时，如果连接失败，会抛出PDOException异常，因此需要使用try-catch块来捕获异常。try { $pdo = new PDO("mysql:host=localhost;dbname=database", "username", "password"); } catch (PDOException $e) { die("Connection failed: " . $e->getMessage()); }，PDO还支持预处理语句,这对于防止SQL注入攻击非常重要。
执行SQL查询语句
连接到数据库后，下一步就是执行SQL查询，对于MySQLi，可以使用query()方法执行查询，例如$result = $mysqli->query("SELECT * FROM users");，查询结果可以通过fetch_assoc()、fetch_object()或fetch_array()等方法获取，对于PDO，可以使用query()方法执行查询，并通过fetch()、fetchAll()等方法获取结果。$stmt = $pdo->query("SELECT * FROM users"); $rows = $stmt->fetchAll(PDO::FETCH_ASSOC);，需要注意的是，执行查询时，应始终对用户输入进行验证和过滤,以防止SQL注入攻击。
处理查询结果
查询执行后，获取和处理结果是关键步骤，MySQLi的fetch_assoc()方法可以将结果集的每一行作为关联数组返回，而fetch_object()则返回一个对象，PDO的fetch()方法可以指定获取方式，如PDO::FETCH_ASSOC（关联数组）或PDO::FETCH_OBJ（对象），对于大量数据，使用fetchAll()可以一次性获取所有结果，但要注意内存消耗，如果只需要逐行处理，使用fetch()循环更为高效，处理完结果后，应释放结果集资源，例如MySQLi的free()方法或PDO的closeCursor()方法。
插入、更新和删除数据
除了查询，PHP还经常用于执行插入、更新和删除（CRUD操作）等数据修改操作，这些操作通常使用预处理语句（Prepared Statements）来提高安全性，预处理语句将SQL语句和数据分开处理，有效防止SQL注入，在MySQLi中，可以使用prepare()和bind_param()方法：$stmt = $mysqli->prepare("INSERT INTO users (name, email) VALUES (?, ?)"); $stmt->bind_param("ss", $name, $email); $stmt->execute();，在PDO中，可以使用命名占位符：$stmt = $pdo->prepare("INSERT INTO users (name, email) VALUES (:name, :email)"); $stmt->execute(['name' => $name, 'email' => $email]);，执行完成后，应检查受影响的行数,以确认操作是否成功。
关闭数据库连接
为了释放服务器资源，应在脚本执行完毕后关闭数据库连接，对于MySQLi，可以使用close()方法，例如$mysqli->close();，对于PDO，当PDO对象被销毁时（例如脚本结束或手动设置为null），连接会自动关闭，虽然PHP会在脚本结束时自动关闭所有连接，但显式关闭是一个良好的编程习惯,尤其是在处理多个连接或长时间运行的脚本中。
安全注意事项和最佳实践
在PHP访问数据库时，安全性至关重要，应始终使用预处理语句来处理用户输入，避免直接拼接SQL字符串，数据库凭据（如用户名和密码）不应硬编码在脚本中，而应存储在配置文件或环境变量中，并确保这些文件不被公开访问，应限制数据库用户的权限，只授予必要的最小权限，如果只需要查询数据，就不要授予插入或删除权限，定期备份数据库,以防数据丢失。
数据库连接池和性能优化
对于高流量的Web应用程序，频繁地建立和关闭数据库连接会影响性能，这时可以使用数据库连接池技术，连接池可以复用现有的数据库连接，减少连接建立的开销，PHP本身不提供连接池功能，但可以通过扩展（如Swoole）或外部工具（如ProxySQL）来实现，还可以通过优化SQL查询、使用索引、减少不必要的数据查询等方式提高数据库性能，使用EXPLAIN分析查询计划,找出性能瓶颈。
相关问答FAQs
问题1：PHP中如何防止SQL注入攻击？
解答：防止SQL注入攻击的最佳方法是使用预处理语句（Prepared Statements），预处理语句将SQL语句和数据分开处理，确保用户输入不会被解释为SQL代码，还应验证和过滤用户输入，避免使用直接拼接SQL字符串的方式，在MySQLi和PDO中，都可以使用prepare()、bind_param()或execute()等方法实现预处理语句。
问题2：如何选择PHP的数据库扩展（MySQLi vs PDO）？
解答：选择MySQLi还是PDO取决于项目需求，如果项目只使用MySQL数据库，且需要利用MySQL特有的功能，MySQLi是一个不错的选择，因为它提供了更好的性能和MySQL特定的功能，如果项目可能需要支持多种数据库（如从MySQL迁移到PostgreSQL），或者需要更统一的接口，PDO则是更好的选择，因为它支持多种数据库类型,并且具有更好的可移植性和灵活性。
