PHP与MySQL的结合是Web开发中的经典组合,掌握PHP操作MySQL的方式对于开发者来说至关重要，本文将详细介绍PHP中常用的MySQL操作方式，包括原生操作、PDO以及MySQLi，帮助开发者根据实际需求选择合适的技术方案。
PHP原生MySQL操作方式
PHP早期提供了mysql系列函数，如mysql_connect()、mysql_query()等，这是最直接的操作方式，由于这些函数存在安全漏洞（如SQL注入风险）且已被PHP 7.0版本废弃，如今已不推荐使用，开发者应优先选择更现代、更安全的替代方案，如PDO或MySQLi。
MySQLi扩展的使用
MySQLi（MySQL Improved）是PHP官方推荐的MySQL操作扩展之一，支持面向过程和面向对象两种编程风格，以面向对象为例，首先需要建立数据库连接：
$mysqli = new mysqli("localhost", "username", "password", "database");
if ($mysqli->connect_error) {
die("连接失败: " . $mysqli->connect_error);
}
执行查询时,使用query()方法：
$result = $mysqli->query("SELECT * FROM users");
while ($row = $result->fetch_assoc()) {
print_r($row);
}
MySQLi的优势在于对事务的支持和预处理语句功能,能有效防止SQL注入，使用预处理语句：
$stmt = $mysqli->prepare("INSERT INTO users (name, email) VALUES (?, ?)");
$stmt->bind_param("ss", $name, $email);
$stmt->execute();
PDO扩展的优势
PDO（PHP Data Objects）是一种更通用的数据库访问抽象层，支持多种数据库（如MySQL、PostgreSQL、SQLite等），与MySQLi相比，PDO的语法更简洁，且默认支持预处理语句，以下是PDO的基本用法：
try {
$pdo = new PDO("mysql:host=localhost;dbname=database", "username", "password");
$pdo->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);
$stmt = $pdo->prepare("SELECT * FROM users WHERE id = :id");
$stmt->execute(['id' => 1]);
$user = $stmt->fetch(PDO::FETCH_ASSOC);
} catch (PDOException $e) {
die("数据库错误: " . $e->getMessage());
}
PDO的命名参数（如id）比MySQLi的问号参数更易读，且支持多种数据类型绑定，适合复杂项目开发。
选择合适的操作方式
在选择PHP操作MySQL的方式时,需考虑项目需求，如果项目仅使用MySQL数据库，MySQLi可能是更轻量的选择；如果需要跨数据库支持或更灵活的预处理语句，PDO则更合适，无论哪种方式，都应避免使用已废弃的mysql函数，并始终采用预处理语句或参数化查询来保障数据安全。
性能与最佳实践
在性能方面,MySQLi和PDO的表现差异不大，但PDO的抽象层可能带来轻微开销，最佳实践包括：使用连接池管理数据库连接、合理设置索引、避免频繁查询等，错误处理应采用try-catch结构，而非直接依赖die()函数，以提高程序的健壮性。
PHP操作MySQL的方式已从原生函数发展到更安全的MySQLi和PDO,开发者应根据项目需求和技术栈选择合适的扩展，并始终遵循安全编码规范，通过合理使用预处理语句和事务支持，可以构建高效、安全的数据库交互应用。
FAQs
Q1: PHP中PDO和MySQLi的主要区别是什么？
A1: PDO支持多种数据库（如MySQL、PostgreSQL等），而MySQLi仅支持MySQL，PDO使用命名参数（如id），语法更灵活；MySQLi则支持面向过程和面向对象两种风格，且对MySQL的特定功能（如多语句查询）支持更好。
Q2: 如何防止PHP操作MySQL时的SQL注入？
A2: 防止SQL注入的最佳方式是使用预处理语句（参数化查询），无论是PDO还是MySQLi，都应通过prepare()和execute()方法绑定参数，而非直接拼接SQL字符串，对用户输入进行过滤和验证也能进一步降低风险。
