php向数据库查询数据时如何避免sql注入并提高查询效率？

adminZpd 专业教程 2025-12-31 17:00:44

PHP向数据库查询数据是Web开发中的核心操作之一,它允许应用程序从数据库中检索、处理和展示数据，本文将详细介绍PHP与数据库交互的基本流程、常用方法、最佳实践以及注意事项，帮助开发者高效、安全地完成数据查询任务。

php向数据库查询数据时如何避免sql注入并提高查询效率？-第1张图片-99系统专家

数据库连接基础

在执行查询之前,必须先建立与数据库的连接，PHP提供了多种扩展（如MySQLi、PDO）来支持不同类型的数据库，以MySQLi为例，连接数据库的基本步骤包括：

主机信息：指定数据库服务器地址（如localhost）。
认证凭据：提供用户名和密码。
选择数据库：明确操作的数据库名称。
```
$conn = new mysqli("localhost", "username", "password", "database");
if ($conn->connect_error) {
 die("连接失败: " . $conn->connect_error);
}
```
PDO（PHP Data Objects）则提供了更统一的接口，支持多种数据库，且支持预处理语句，安全性更高。

执行基本查询

连接成功后,可以使用query()方法执行SQL查询语句，查询用户表中的所有数据：

$sql = "SELECT id, name, email FROM users";
$result = $conn->query($sql);

查询结果以结果集（result set）形式返回，需通过循环遍历数据：

if ($result->num_rows > 0) {
    while($row = $result->fetch_assoc()) {
        echo "ID: " . $row["id"]. " Name: " . $row["name"]. "<br>";
    }
} else {
    echo "0 结果";
}

fetch_assoc()方法将每行数据关联数组形式返回，也可使用fetch_row()（索引数组）或fetch_object()（对象）。

php向数据库查询数据时如何避免sql注入并提高查询效率？-第2张图片-99系统专家

使用预处理语句防止SQL注入

直接拼接SQL语句存在安全风险,推荐使用预处理语句（Prepared Statements），MySQLi和PDO均支持此功能，以MySQLi为例：

$stmt = $conn->prepare("SELECT id, name FROM users WHERE email = ?");
$stmt->bind_param("s", $email); // "s"表示字符串类型
$email = "user@example.com";
$stmt->execute();
$result = $stmt->get_result();
while ($row = $result->fetch_assoc()) {
    echo $row["name"];
}
$stmt->close();

预处理语句将SQL与数据分离,有效防止SQL注入攻击。

处理查询结果

查询结果的获取方式需根据需求选择：

单行数据：使用fetch()或fetch_assoc()直接获取一行。
多行数据：通过循环遍历结果集。
分页查询：结合LIMIT和OFFSET实现分页，例如SELECT * FROM users LIMIT 10 OFFSET 20。
可使用fetch_all()一次性获取所有数据（适合小结果集），但需注意内存消耗。

错误处理与调试

查询失败时,需捕获错误信息以便调试，MySQLi可通过$conn->error获取错误，PDO则需设置PDO::ERRMODE_EXCEPTION：

try {
    $conn = new PDO("mysql:host=localhost;dbname=database", "username", "password");
    $conn->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);
    $stmt = $conn->query("SELECT * FROM invalid_table");
} catch(PDOException $e) {
    echo "错误: " . $e->getMessage();
}

生产环境中应避免直接显示错误信息,而是记录日志。

php向数据库查询数据时如何避免sql注入并提高查询效率？-第3张图片-99系统专家