首页 > 文章 > php教程

PHP如何插入数据到MySQL？

时间：2025-10-18 13:51:54 447浏览收藏

亲爱的编程学习爱好者，如果你点开了这篇文章，说明你对《PHP插入数据到MySQL方法详解》很感兴趣。本篇文章就来给大家详细解析一下，主要介绍一下，希望所有认真读完的童鞋们，都有实质性的提高。

使用预处理语句可有效防止SQL注入，推荐结合事务和批量执行提升性能，PDO提供数据库抽象层便于移植。

PHP数据插入怎么操作_PHP向MySQL插入数据方法详解

PHP向MySQL插入数据，核心在于构建SQL语句并执行。直接点说，就是拼字符串，然后告诉MySQL“执行这个字符串”。但安全性是重中之重，必须防范SQL注入。

解决方案

最常见的操作流程如下：

建立数据库连接：使用 mysqli_connect() 函数连接到 MySQL 数据库。确保提供正确的主机名、用户名、密码和数据库名。

$servername = "localhost";
$username = "your_username";
$password = "your_password";
$dbname = "your_database";

$conn = mysqli_connect($servername, $username, $password, $dbname);

if (!$conn) {
    die("Connection failed: " . mysqli_connect_error());
}

准备数据：从表单、API 或其他来源获取要插入的数据。
```
$name = $_POST['name'];
$email = $_POST['email'];
```

构建 SQL 语句（重要：防止 SQL 注入！）：使用预处理语句或转义函数来防止 SQL 注入。

预处理语句 (推荐)：

$stmt = mysqli_prepare($conn, "INSERT INTO users (name, email) VALUES (?, ?)");
mysqli_stmt_bind_param($stmt, "ss", $name, $email); // "ss" 表示两个字符串类型

if (mysqli_stmt_execute($stmt)) {
    echo "New record created successfully";
} else {
    echo "Error: " . mysqli_error($conn);
}

mysqli_stmt_close($stmt);

转义函数 (mysqli_real_escape_string)：

$name = mysqli_real_escape_string($conn, $name);
$email = mysqli_real_escape_string($conn, $email);

$sql = "INSERT INTO users (name, email) VALUES ('$name', '$email')";

if (mysqli_query($conn, $sql)) {
    echo "New record created successfully";
} else {
    echo "Error: " . mysqli_error($conn);
}

注意： 即使使用了 mysqli_real_escape_string，预处理语句仍然是更安全的选择。

执行 SQL 语句：使用 mysqli_query() 函数执行 SQL 语句。
处理结果：检查 SQL 语句是否执行成功，并根据结果显示相应的消息。
关闭数据库连接：使用 mysqli_close() 函数关闭数据库连接。
```
mysqli_close($conn);
```

PHP插入数据时，如何避免SQL注入攻击？

SQL注入是安全领域的经典问题，本质上是把用户输入的数据当成了SQL代码的一部分来执行。避免SQL注入，核心在于区分数据和代码。

使用预处理语句 (Prepared Statements)：这是防止 SQL 注入的最佳方法。预处理语句将 SQL 查询的结构与数据分开。你首先定义查询的结构，然后将数据作为参数传递给查询。数据库服务器会安全地处理这些参数，确保它们不会被解释为 SQL 代码。上面的代码示例已经展示了预处理语句的使用。
使用参数化查询：参数化查询与预处理语句类似，但通常用于更复杂的查询。
输入验证和清理：在将数据插入数据库之前，始终验证和清理用户输入。
- 验证：确保数据符合预期的格式和类型。例如，如果期望一个整数，请确保输入确实是一个整数。
- 清理：删除或转义任何可能被解释为 SQL 代码的字符。 mysqli_real_escape_string() 函数可以用来转义特殊字符，但它不如预处理语句安全。
最小权限原则：确保数据库用户只拥有执行其任务所需的最小权限。例如，如果用户只需要插入数据，则不应授予其删除或修改数据的权限。
使用 Web 应用防火墙 (WAF)：WAF 可以帮助检测和阻止 SQL 注入攻击。
定期更新数据库和 PHP：及时应用安全补丁可以修复已知的漏洞。

除了mysqli，还有其他PHP连接数据库的方式吗？PDO了解一下

当然有，PDO (PHP Data Objects) 是一个轻量级的、一致性的接口，用于在 PHP 脚本中访问数据库。它提供了一种抽象层，使得你可以使用相同的代码来连接和操作不同的数据库系统（例如 MySQL、PostgreSQL、SQLite 等）。

连接数据库：

$servername = "localhost";
$username = "your_username";
$password = "your_password";
$dbname = "your_database";

try {
    $conn = new PDO("mysql:host=$servername;dbname=$dbname", $username, $password);
    // 设置 PDO 错误模式为异常
    $conn->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);
    echo "Connected successfully";
} catch(PDOException $e) {
    echo "Connection failed: " . $e->getMessage();
}

插入数据 (使用预处理语句)：

try {
    $stmt = $conn->prepare("INSERT INTO users (name, email) VALUES (:name, :email)");
    $stmt->bindParam(':name', $name);
    $stmt->bindParam(':email', $email);

    // 插入一行
    $name = "John Doe";
    $email = "john.doe@example.com";
    $stmt->execute();

    echo "New record created successfully";
} catch(PDOException $e) {
    echo "Error: " . $e->getMessage();
}

关闭连接：
```
$conn = null;
```

PDO 的优点在于其数据库抽象层，使得代码更易于移植和维护。同时，PDO 也支持预处理语句，可以有效地防止 SQL 注入攻击。

PHP插入数据后，如何获取自增ID？

在 MySQL 中，通常会使用自增 ID 作为表的主键。在插入数据后，可以使用 mysqli_insert_id() 或 PDO::lastInsertId() 函数来获取刚刚插入的行的自增 ID。

使用 mysqli_insert_id()：

$sql = "INSERT INTO users (name, email) VALUES ('$name', '$email')";

if (mysqli_query($conn, $sql)) {
    $last_id = mysqli_insert_id($conn);
    echo "New record created successfully. Last inserted ID is: " . $last_id;
} else {
    echo "Error: " . mysqli_error($conn);
}

使用 PDO::lastInsertId()：

try {
    $stmt = $conn->prepare("INSERT INTO users (name, email) VALUES (:name, :email)");
    $stmt->bindParam(':name', $name);
    $stmt->bindParam(':email', $email);
    $stmt->execute();

    $last_id = $conn->lastInsertId();
    echo "New record created successfully. Last inserted ID is: " . $last_id;
} catch(PDOException $e) {
    echo "Error: " . $e->getMessage();
}

在使用这些函数之前，需要确保表中存在自增 ID 字段，并且该字段被正确配置。

批量插入数据，怎么优化PHP的性能？

批量插入数据时，如果一条一条地执行 SQL 语句，效率会非常低。优化性能的关键在于减少与数据库的交互次数。

使用单个 SQL 语句插入多行：可以将多行数据组合成一个 INSERT 语句，从而减少与数据库的交互次数。

$values = [];
foreach ($data as $row) {
    $name = mysqli_real_escape_string($conn, $row['name']);
    $email = mysqli_real_escape_string($conn, $row['email']);
    $values[] = "('$name', '$email')";
}

$sql = "INSERT INTO users (name, email) VALUES " . implode(',', $values);

if (mysqli_query($conn, $sql)) {
    echo "Records created successfully";
} else {
    echo "Error: " . mysqli_error($conn);
}

注意： 这种方法仍然需要转义数据以防止 SQL 注入。并且，如果数据量非常大，单个 SQL 语句可能会超过数据库的限制。

使用事务 (Transactions)：事务可以将多个 SQL 语句组合成一个原子操作。如果事务中的任何一个语句失败，则所有语句都会被回滚。使用事务可以提高数据的一致性和性能。

mysqli_begin_transaction($conn);

try {
    foreach ($data as $row) {
        $name = mysqli_real_escape_string($conn, $row['name']);
        $email = mysqli_real_escape_string($conn, $row['email']);
        $sql = "INSERT INTO users (name, email) VALUES ('$name', '$email')";
        mysqli_query($conn, $sql);
    }

    mysqli_commit($conn);
    echo "Records created successfully";
} catch (Exception $e) {
    mysqli_rollback($conn);
    echo "Error: " . $e->getMessage();
}

使用预处理语句和批量执行：预处理语句可以与批量执行结合使用，以提高性能和安全性。

$stmt = mysqli_prepare($conn, "INSERT INTO users (name, email) VALUES (?, ?)");
mysqli_stmt_bind_param($stmt, "ss", $name, $email);

mysqli_begin_transaction($conn);

try {
    foreach ($data as $row) {
        $name = $row['name'];
        $email = $row['email'];
        mysqli_stmt_execute($stmt);
    }

    mysqli_commit($conn);
    echo "Records created successfully";
} catch (Exception $e) {
    mysqli_rollback($conn);
    echo "Error: " . $e->getMessage();
}

mysqli_stmt_close($stmt);

禁用自动提交：在批量插入数据之前，可以禁用数据库的自动提交功能。这样可以减少磁盘 I/O 操作，提高性能。
```
mysqli_autocommit($conn, FALSE);

// ... 插入数据 ...

mysqli_commit($conn);
mysqli_autocommit($conn, TRUE);
```
调整 MySQL 配置：可以调整 MySQL 的配置参数，例如 bulk_insert_buffer_size 和 max_allowed_packet，以优化批量插入的性能。

选择哪种优化方法取决于具体的需求和场景。通常，使用预处理语句和批量执行结合事务是最佳的选择。

本篇关于《PHP如何插入数据到MySQL？》的介绍就到此结束啦，但是学无止境，想要了解学习更多关于文章的相关知识，请关注golang学习网公众号！

mysql php sql注入插入数据预处理语句