PHP连接MySQL查询完整教程

想知道如何在PHP中安全高效地连接MySQL数据库并执行查询吗？本文为你提供一份完整的教程，深入讲解了使用PDO扩展的最佳实践方案。PDO作为PHP Data Objects的缩写，凭借其对多种数据库的支持和强大的预处理语句功能，成为现代PHP应用开发的首选。本文将详细介绍如何启用PDO_MySQL扩展，创建PDO实例，设置错误模式和预处理属性，以及如何使用prepare()和bindParam()执行安全的SQL查询，有效防止SQL注入。无论你是进行SELECT查询，还是INSERT、UPDATE、DELETE操作，本文都将为你提供清晰的代码示例和步骤指导，助你构建更安全、更高效、更易于维护的数据库操作流程。

在PHP中连接MySQL并执行查询，应使用PDO或MySQLi扩展，推荐使用PDO。1. 确保启用PDO_MySQL扩展；2. 使用DSN、用户名和密码创建PDO实例，并设置ATTR_ERRMODE为EXCEPTION以启用异常处理；3. 设置ATTR_EMULATE_PREPARES为false以启用真实预处理，提升安全性；4. 使用prepare()和bindParam()执行预处理语句，防止SQL注入；5. SELECT操作通过execute()后使用fetch()或fetchAll()获取结果；6. INSERT/UPDATE/DELETE操作执行后可用rowCount()获取影响行数，lastInsertId()获取自增ID；7. 所有操作应包裹在try-catch中捕获PDOException，生产环境需记录日志而非暴露错误信息；8. 始终使用预处理语句绑定用户输入，杜绝SQL注入风险；9. PDO支持多数据库，优于仅支持MySQL的MySQLi，更适合现代应用开发。该方案完整实现了安全、高效、可维护的数据库操作流程。

在PHP中连接MySQL数据库并执行查询，核心在于使用PHP内置的数据库扩展，最常用且推荐的是PDO（PHP Data Objects）或MySQLi。它们提供了一套API，让你能安全、高效地与数据库进行交互。简单来说，就是先建立一条通往数据库的“管道”，然后通过这条管道发送SQL指令，最后接收并处理返回的数据。

解决方案

要连接MySQL并执行查询，我通常会倾向于使用PDO。它不仅支持多种数据库类型，更重要的是，其内置的预处理语句机制能有效防止SQL注入，这在开发中是至关重要的一环。

首先，你需要确保PHP环境已经开启了PDO_MySQL扩展。接着，就可以开始编写代码了。

连接数据库：

setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);
    // 禁用预处理语句的模拟，让MySQL服务器来处理预处理，更安全
    $pdo->setAttribute(PDO::ATTR_EMULATE_PREPARES, false);
    // 默认获取关联数组
    $pdo->setAttribute(PDO::ATTR_DEFAULT_FETCH_MODE, PDO::FETCH_ASSOC);

    echo "数据库连接成功！";

} catch (PDOException $e) {
    // 生产环境中不应直接暴露错误信息，这里仅为演示
    die("数据库连接失败: " . $e->getMessage());
}

// 接下来可以执行查询操作
?>

这里我特意设置了PDO::ATTR_EMULATE_PREPARES, false，这是一个小细节，但对我来说很重要。这意味着我们把预处理的工作交给了MySQL服务器，而不是PHP本身模拟，这在某些情况下可以提高安全性，也能更好地利用数据库的特性。

执行查询（SELECT）：

prepare("SELECT id, name, email FROM users WHERE id = :id");
    $userId = 1; // 假设我们要查询ID为1的用户
    $stmt->bindParam(':id', $userId, PDO::PARAM_INT); // 绑定参数，指定类型

    $stmt->execute(); // 执行查询

    // 获取单条结果
    $user = $stmt->fetch();
    if ($user) {
        echo "
查询到用户: ID-" . $user['id'] . ", 姓名-" . $user['name'] . ", 邮箱-" . $user['email'];
    } else {
        echo "
未找到用户。";
    }

    // 获取多条结果（重置stmt或重新prepare）
    $stmtAll = $pdo->prepare("SELECT id, name FROM products WHERE price > :min_price");
    $minPrice = 100.00;
    $stmtAll->bindParam(':min_price', $minPrice, PDO::PARAM_STR); // 价格通常用字符串或浮点数绑定

    $stmtAll->execute();
    echo "

价格高于100的产品列表:";
    while ($row = $stmtAll->fetch()) {
        echo "
ID: " . $row['id'] . ", 名称: " . $row['name'];
    }

} catch (PDOException $e) {
    die("
查询失败: " . $e->getMessage());
}
?>

执行插入、更新、删除（INSERT/UPDATE/DELETE）：

这些操作与SELECT类似，也是通过预处理语句来执行，只是不需要fetch()结果。

prepare("INSERT INTO users (name, email) VALUES (:name, :email)");
    $stmtInsert->bindParam(':name', $name);
    $stmtInsert->bindParam(':email', $email);
    $stmtInsert->execute();
    echo "

新用户插入成功！新ID: " . $pdo->lastInsertId();

    // 更新数据
    $newName = '更新后的名字';
    $updateId = $pdo->lastInsertId(); // 更新刚刚插入的用户
    $stmtUpdate = $pdo->prepare("UPDATE users SET name = :name WHERE id = :id");
    $stmtUpdate->bindParam(':name', $newName);
    $stmtUpdate->bindParam(':id', $updateId, PDO::PARAM_INT);
    $stmtUpdate->execute();
    echo "
用户ID " . $updateId . " 更新成功！影响行数: " . $stmtUpdate->rowCount();

    // 删除数据
    $deleteId = $updateId; // 删除刚刚更新的用户
    $stmtDelete = $pdo->prepare("DELETE FROM users WHERE id = :id");
    $stmtDelete->bindParam(':id', $deleteId, PDO::PARAM_INT);
    $stmtDelete->execute();
    echo "
用户ID " . $deleteId . " 删除成功！影响行数: " . $stmtDelete->rowCount();

} catch (PDOException $e) {
    die("
操作失败: " . $e->getMessage());
}
?>

如何选择合适的PHP数据库扩展：PDO还是MySQLi？

这是一个老生常谈的问题，但对于初学者来说，确实是个选择困难症。在我看来，如果你是新建项目，或者需要更好的灵活性和安全性，PDO无疑是更优的选择。它的设计初衷就是为了提供一个统一的接口来访问不同类型的数据库，比如MySQL、PostgreSQL、SQLite等。这意味着，如果将来你的项目需要从MySQL迁移到PostgreSQL，大部分数据库操作的代码都不需要重写，只需要修改连接字符串。

MySQLi（MySQL Improved Extension）则是专为MySQL数据库设计的，它提供了面向对象和面向过程两种编程风格的接口。如果你只打算使用MySQL，并且对面向过程的风格更熟悉，或者项目已经在使用MySQLi，那么继续使用它也完全没问题。它同样支持预处理语句，能够有效防止SQL注入。

但我个人更偏爱PDO的理由，除了多数据库支持外，还有它在错误处理上更优雅，通常通过抛出异常来指示错误，这与现代PHP的错误处理模式更契合。而且，它的API设计感觉更一致，学习曲线可能更平缓一些。当然，这都是个人感受，具体项目还得看团队的技术栈和偏好。

编写安全的数据库查询：预处理语句的重要性

提到数据库操作，安全性是绕不开的话题，尤其是SQL注入。简单来说，SQL注入就是恶意用户通过在输入框中输入精心构造的字符串，来改变你SQL查询的意图，比如获取不该看到的数据，甚至删除整个数据库。这听起来有点吓人，但它确实是真实存在的威胁。

解决这个问题的最佳实践就是使用“预处理语句”（Prepared Statements）。它的核心思想是：SQL查询语句的结构和数据是分开传递给数据库的。你先告诉数据库你要执行什么操作（比如SELECT * FROM users WHERE id = ?），这里问号?或者命名参数:id就是占位符。然后，你再单独把数据绑定到这些占位符上。数据库收到后，会先编译SQL语句，然后再把数据“填”进去。这样，即使数据里包含了恶意的SQL代码，数据库也会把它们当作普通的数据来处理，而不是SQL指令的一部分，从而避免了注入。

无论是PDO还是MySQLi，都提供了预处理语句的功能。我在上面的解决方案中已经展示了PDO的用法。如果你用MySQLi，也会有类似的方法：

// MySQLi 预处理语句示例
$mysqli = new mysqli("localhost", "user", "password", "database");
if ($mysqli->connect_error) {
    die("连接失败: " . $mysqli->connect_error);
}

$stmt = $mysqli->prepare("SELECT name, email FROM users WHERE id = ?");
$userId = 5;
$stmt->bind_param("i", $userId); // "i" 表示整数类型
$stmt->execute();
$stmt->bind_result($name, $email); // 绑定结果到变量
$stmt->fetch();
echo "MySQLi 查询结果: 姓名 - " . $name . ", 邮箱 - " . $email;
$stmt->close();
$mysqli->close();

你看，概念都是一样的，只是API调用的方式略有不同。无论如何，请务必养成使用预处理语句的习惯，这是保护你应用程序和用户数据的第一道防线。直接拼接用户输入的字符串来构建SQL查询，简直是在邀请攻击者来“做客”，风险极高。

处理查询结果与错误：数据获取与异常捕获

当我们执行完数据库查询后，下一步自然就是获取数据。不同的查询类型，获取数据的方式也不同。对于SELECT查询，我们通常会得到一个结果集，需要从中逐行或一次性取出数据。而对于INSERT、UPDATE、DELETE等操作，我们更关心的是操作是否成功，以及影响了多少行数据。

数据获取：

在PDO中，fetch()方法用于获取结果集中的下一行数据，通常在一个循环中使用来遍历所有结果。fetchAll()则可以一次性获取所有结果到一个数组中。我通常会根据需要来选择：如果结果集可能非常大，我倾向于用fetch()逐行处理，避免一次性加载过多数据到内存；如果结果集不大，fetchAll()则更方便。

// 假设 $stmtAll 已经执行并有结果
while ($row = $stmtAll->fetch(PDO::FETCH_ASSOC)) { // PDO::FETCH_ASSOC 获取关联数组
    // 处理每一行数据
}

// 或者
$allProducts = $stmtAll->fetchAll(PDO::FETCH_ASSOC);
foreach ($allProducts as $row) {
    // 处理所有数据
}

对于非SELECT操作，我们通常用rowCount()方法来检查受影响的行数，以此判断操作是否成功或有多少数据被修改/删除。lastInsertId()则用于获取最近插入的行的ID，这在插入新数据后非常有用。

错误处理与异常捕获：

数据库操作，尤其是网络连接和数据处理，总是伴随着各种潜在的错误，比如数据库服务器宕机、连接超时、SQL语法错误、权限不足等等。良好的错误处理机制能够让你的应用程序更健壮，也能帮助你更快地定位问题。

PDO的优势在于它能够以异常（Exception）的形式报告错误。这意味着你可以使用PHP标准的try...catch块来捕获和处理这些错误。在连接数据库时，我设置了PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION，这就是告诉PDO，一旦发生错误，就抛出一个PDOException。

try {
    // 你的数据库操作代码
    $pdo->query("SELECT * FROM non_existent_table"); // 故意制造一个错误
} catch (PDOException $e) {
    // 捕获到PDOException
    error_log("数据库错误: " . $e->getMessage()); // 记录错误到日志
    // 在生产环境中，给用户一个友好的提示，而不是直接显示错误信息
    echo "抱歉，服务器忙，请稍后再试。";
    // 也可以根据错误码进行更细致的判断和处理
    // if ($e->getCode() == '42S02') { // SQLSTATE for base table or view not found
    //     echo "表不存在！";
    // }
}

我个人习惯是，在开发阶段，直接显示错误信息有助于调试；但在生产环境，务必将错误信息记录到日志文件（使用error_log()），然后向用户显示一个通用的、友好的错误提示。直接暴露数据库错误信息给用户，不仅不专业，还可能泄露敏感信息，给攻击者提供线索。这是我每次部署前都会检查的一个点。

今天关于《PHP连接MySQL查询完整教程》的内容介绍就到此结束，如果有什么疑问或者建议，可以在golang学习网公众号下多多回复交流；文中若有不正之处，也希望回复留言以告知！