php和mysql插入数据需使用预处理语句和事务以确保安全与效率。1. 使用预处理语句（prepared statements）绑定参数可防止sql注入，提高代码可读性和执行效率；2. 批量插入时应结合事务（transaction），通过begintransaction()开启、execute()循环插入、commit()提交，保证数据一致性并提升性能；3. 获取自增id可用$conn->lastinsertid()方法；4. 处理重复键可使用on duplicate key update语句实现存在则更新、不存在则插入的功能；5. 避免sql注入应始终使用预处理而非拼接sql；6. 调试错误应开启错误报告、检查sql语句、查看数据库日志并使用try-catch捕获异常。这些技巧能有效提升数据插入的安全性与可靠性。
PHP和MySQL的数据操作，插入数据是基础中的基础。但别以为INSERT INTO就完事了，这里面门道可深着呢。
直接使用预处理语句和绑定参数，防止SQL注入。
如何优雅地插入数据？
最常见的，就是INSERT INTO table_name (column1, column2) VALUES ('value1', 'value2')。但这种方式容易出错，特别是当数据类型不匹配或者需要处理特殊字符时。
立即学习“PHP免费学习笔记（深入）”；
更好的方式是使用预处理语句（Prepared Statements）。
setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);
// 预处理 SQL 并绑定参数
$stmt = $conn->prepare("INSERT INTO MyGuests (firstname, lastname, email) VALUES (:firstname, :lastname, :email)");
$stmt->bindParam(':firstname', $firstname);
$stmt->bindParam(':lastname', $lastname);
$stmt->bindParam(':email', $email);
// 插入一行
$firstname = "John";
$lastname = "Doe";
$email = "john@example.com";
$stmt->execute();
// 插入另一行
$firstname = "Mary";
$lastname = "Moe";
$email = "mary@example.com";
$stmt->execute();
echo "新记录插入成功";
}
catch(PDOException $e)
{
echo "错误: " . $e->getMessage();
}
$conn = null;
?>这样做的好处是：
- 安全性：有效防止SQL注入攻击。
- 效率：如果需要插入多条数据，预处理语句只需要编译一次，可以大大提高效率。
- 可读性：代码更加清晰易懂。
如何批量插入数据？
如果需要一次性插入大量数据，循环执行INSERT语句效率会非常低。更好的方式是使用事务（Transaction）。
setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);
// 开始事务
$conn->beginTransaction();
// 预处理 SQL 并绑定参数
$stmt = $conn->prepare("INSERT INTO MyGuests (firstname, lastname, email) VALUES (:firstname, :lastname, :email)");
$stmt->bindParam(':firstname', $firstname);
$stmt->bindParam(':lastname', $lastname);
$stmt->bindParam(':email', $email);
// 准备数据
$data = [
['firstname' => 'John', 'lastname' => 'Doe', 'email' => 'john@example.com'],
['firstname' => 'Mary', 'lastname' => 'Moe', 'email' => 'mary@example.com'],
['firstname' => 'Julie', 'lastname' => 'Dooley', 'email' => 'julie@example.com']
];
// 循环插入数据
foreach ($data as $row) {
$firstname = $row['firstname'];
$lastname = $row['lastname'];
$email = $row['email'];
$stmt->execute();
}
// 提交事务
$conn->commit();
echo "新记录插入成功";
}
catch(PDOException $e)
{
// 回滚事务
$conn->rollback();
echo "错误: " . $e->getMessage();
}
$conn = null;
?>事务的优点在于：
- 原子性：要么全部成功，要么全部失败，保证数据的一致性。
- 效率：减少了数据库的连接次数，提高了插入效率。
如何处理自增ID？
在很多情况下，我们需要获取插入数据后自动生成的ID。
setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);
$sql = "INSERT INTO MyGuests (firstname, lastname, email) VALUES ('John', 'Doe', 'john@example.com')";
// 使用 exec() ，没有结果返回
$conn->exec($sql);
$last_id = $conn->lastInsertId();
echo "新记录插入成功。 最后的 ID 是：". $last_id;
}
catch(PDOException $e)
{
echo $sql . "
" . $e->getMessage();
}
$conn = null;
?>$conn->lastInsertId() 可以获取最后插入的ID值。注意，这个方法只能获取当前连接中最后一次插入操作的ID。
插入数据时如何处理重复键？
在某些情况下，我们希望如果数据已经存在，则更新数据，否则插入数据。这可以使用 ON DUPLICATE KEY UPDATE 语句实现。
假设我们有一个 users 表，其中 email 字段是唯一索引。
INSERT INTO users (email, name, age) VALUES ('test@example.com', 'Test User', 30)
ON DUPLICATE KEY UPDATE name = 'Test User', age = 30;如果 email 为 'test@example.com' 的记录不存在，则会插入一条新记录。如果存在，则会更新该记录的 name 和 age 字段。
如何避免SQL注入？
SQL注入是Web开发中常见的安全漏洞。攻击者可以通过构造恶意的SQL语句来获取、修改或删除数据库中的数据。
避免SQL注入的最佳方式是使用预处理语句和参数绑定。不要直接将用户输入的数据拼接到SQL语句中。
例如，不要这样做：
$email = $_POST['email']; $sql = "SELECT * FROM users WHERE email = '$email'"; // 存在SQL注入风险
应该这样做：
$email = $_POST['email'];
$stmt = $pdo->prepare("SELECT * FROM users WHERE email = :email");
$stmt->bindParam(':email', $email);
$stmt->execute();预处理语句会将SQL语句和数据分开处理，从而避免SQL注入。
插入数据时遇到错误如何调试？
- 开启错误报告：在开发环境中，开启PHP的错误报告，可以帮助你快速发现错误。
- 检查SQL语句：仔细检查SQL语句是否正确，包括表名、字段名、数据类型等。
- 查看数据库日志：查看数据库的错误日志，可以获取更详细的错误信息。
-
使用
try-catch块：使用try-catch块捕获异常，可以更好地处理错误。
总之，插入数据看似简单，但要做到安全、高效、可靠，需要掌握一些技巧和最佳实践。使用预处理语句、事务、ON DUPLICATE KEY UPDATE 语句，并注意防止SQL注入，可以帮助你编写出更健壮的PHP MySQL代码。
