PHP语言怎样连接 MySQL 数据库并执行查询 PHP语言数据库查询操作的详细教程​

在php中连接mysql并执行查询，应使用pdo或mysqli扩展，推荐使用pdo。1. 确保启用pdo_mysql扩展；2. 使用dsn、用户名和密码创建pdo实例，并设置attr_errmode为exception以启用异常处理；3. 设置attr_emulate_prepares为false以启用真实预处理，提升安全性；4. 使用prepare()和bindparam()执行预处理语句，防止sql注入；5. select操作通过execute()后使用fetch()或fetchall()获取结果；6. insert/update/delete操作执行后可用rowcount()获取影响行数，lastinsertid()获取自增id；7. 所有操作应包裹在try-catch中捕获pdoexception，生产环境需记录日志而非暴露错误信息；8. 始终使用预处理语句绑定用户输入，杜绝sql注入风险；9. pdo支持多数据库，优于仅支持mysql的mysqli，更适合现代应用开发。该方案完整实现了安全、高效、可维护的数据库操作流程。

在PHP中连接MySQL数据库并执行查询，核心在于使用PHP内置的数据库扩展，最常用且推荐的是PDO（PHP Data Objects）或MySQLi。它们提供了一套API，让你能安全、高效地与数据库进行交互。简单来说，就是先建立一条通往数据库的“管道”，然后通过这条管道发送SQL指令，最后接收并处理返回的数据。

解决方案

要连接MySQL并执行查询，我通常会倾向于使用PDO。它不仅支持多种数据库类型，更重要的是，其内置的预处理语句机制能有效防止SQL注入，这在开发中是至关重要的一环。

首先，你需要确保PHP环境已经开启了PDO_MySQL扩展。接着，就可以开始编写代码了。

立即学习“PHP免费学习笔记（深入）”；

连接数据库：

setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);
    // 禁用预处理语句的模拟，让MySQL服务器来处理预处理，更安全
    $pdo->setAttribute(PDO::ATTR_EMULATE_PREPARES, false);
    // 默认获取关联数组
    $pdo->setAttribute(PDO::ATTR_DEFAULT_FETCH_MODE, PDO::FETCH_ASSOC);

    echo "数据库连接成功！";

} catch (PDOException $e) {
    // 生产环境中不应直接暴露错误信息，这里仅为演示
    die("数据库连接失败: " . $e->getMessage());
}

// 接下来可以执行查询操作
?>

这里我特意设置了

PDO::ATTR_EMULATE_PREPARES, false

执行查询（SELECT）：

prepare("SELECT id, name, email FROM users WHERE id = :id");
    $userId = 1; // 假设我们要查询ID为1的用户
    $stmt->bindParam(':id', $userId, PDO::PARAM_INT); // 绑定参数，指定类型

    $stmt->execute(); // 执行查询

    // 获取单条结果
    $user = $stmt->fetch();
    if ($user) {
        echo "
查询到用户: ID-" . $user['id'] . ", 姓名-" . $user['name'] . ", 邮箱-" . $user['email'];
    } else {
        echo "
未找到用户。";
    }

    // 获取多条结果（重置stmt或重新prepare）
    $stmtAll = $pdo->prepare("SELECT id, name FROM products WHERE price > :min_price");
    $minPrice = 100.00;
    $stmtAll->bindParam(':min_price', $minPrice, PDO::PARAM_STR); // 价格通常用字符串或浮点数绑定

    $stmtAll->execute();
    echo "

价格高于100的产品列表:";
    while ($row = $stmtAll->fetch()) {
        echo "
ID: " . $row['id'] . ", 名称: " . $row['name'];
    }

} catch (PDOException $e) {
    die("
查询失败: " . $e->getMessage());
}
?>

执行插入、更新、删除（INSERT/UPDATE/DELETE）：

这些操作与SELECT类似，也是通过预处理语句来执行，只是不需要

fetch()

prepare("INSERT INTO users (name, email) VALUES (:name, :email)");
    $stmtInsert->bindParam(':name', $name);
    $stmtInsert->bindParam(':email', $email);
    $stmtInsert->execute();
    echo "

新用户插入成功！新ID: " . $pdo->lastInsertId();

    // 更新数据
    $newName = '更新后的名字';
    $updateId = $pdo->lastInsertId(); // 更新刚刚插入的用户
    $stmtUpdate = $pdo->prepare("UPDATE users SET name = :name WHERE id = :id");
    $stmtUpdate->bindParam(':name', $newName);
    $stmtUpdate->bindParam(':id', $updateId, PDO::PARAM_INT);
    $stmtUpdate->execute();
    echo "
用户ID " . $updateId . " 更新成功！影响行数: " . $stmtUpdate->rowCount();

    // 删除数据
    $deleteId = $updateId; // 删除刚刚更新的用户
    $stmtDelete = $pdo->prepare("DELETE FROM users WHERE id = :id");
    $stmtDelete->bindParam(':id', $deleteId, PDO::PARAM_INT);
    $stmtDelete->execute();
    echo "
用户ID " . $deleteId . " 删除成功！影响行数: " . $stmtDelete->rowCount();

} catch (PDOException $e) {
    die("
操作失败: " . $e->getMessage());
}
?>

如何选择合适的PHP数据库扩展：PDO还是MySQLi？

这是一个老生常谈的问题，但对于初学者来说，确实是个选择困难症。在我看来，如果你是新建项目，或者需要更好的灵活性和安全性，PDO无疑是更优的选择。它的设计初衷就是为了提供一个统一的接口来访问不同类型的数据库，比如MySQL、PostgreSQL、SQLite等。这意味着，如果将来你的项目需要从MySQL迁移到PostgreSQL，大部分数据库操作的代码都不需要重写，只需要修改连接字符串。

MySQLi（MySQL Improved Extension）则是专为MySQL数据库设计的，它提供了面向对象和面向过程两种编程风格的接口。如果你只打算使用MySQL，并且对面向过程的风格更熟悉，或者项目已经在使用MySQLi，那么继续使用它也完全没问题。它同样支持预处理语句，能够有效防止SQL注入。

但我个人更偏爱PDO的理由，除了多数据库支持外，还有它在错误处理上更优雅，通常通过抛出异常来指示错误，这与现代PHP的错误处理模式更契合。而且，它的API设计感觉更一致，学习曲线可能更平缓一些。当然，这都是个人感受，具体项目还得看团队的技术栈和偏好。

Lumen5

一个在线视频创建平台，AI将博客文章转换成视频

下载

编写安全的数据库查询：预处理语句的重要性

提到数据库操作，安全性是绕不开的话题，尤其是SQL注入。简单来说，SQL注入就是恶意用户通过在输入框中输入精心构造的字符串，来改变你SQL查询的意图，比如获取不该看到的数据，甚至删除整个数据库。这听起来有点吓人，但它确实是真实存在的威胁。

解决这个问题的最佳实践就是使用“预处理语句”（Prepared Statements）。它的核心思想是：SQL查询语句的结构和数据是分开传递给数据库的。你先告诉数据库你要执行什么操作（比如SELECT * FROM users WHERE id = ?），这里问号

?

:id

无论是PDO还是MySQLi，都提供了预处理语句的功能。我在上面的解决方案中已经展示了PDO的用法。如果你用MySQLi，也会有类似的方法：

// MySQLi 预处理语句示例
$mysqli = new mysqli("localhost", "user", "password", "database");
if ($mysqli->connect_error) {
    die("连接失败: " . $mysqli->connect_error);
}

$stmt = $mysqli->prepare("SELECT name, email FROM users WHERE id = ?");
$userId = 5;
$stmt->bind_param("i", $userId); // "i" 表示整数类型
$stmt->execute();
$stmt->bind_result($name, $email); // 绑定结果到变量
$stmt->fetch();
echo "MySQLi 查询结果: 姓名 - " . $name . ", 邮箱 - " . $email;
$stmt->close();
$mysqli->close();

你看，概念都是一样的，只是API调用的方式略有不同。无论如何，请务必养成使用预处理语句的习惯，这是保护你应用程序和用户数据的第一道防线。直接拼接用户输入的字符串来构建SQL查询，简直是在邀请攻击者来“做客”，风险极高。

处理查询结果与错误：数据获取与异常捕获

当我们执行完数据库查询后，下一步自然就是获取数据。不同的查询类型，获取数据的方式也不同。对于SELECT查询，我们通常会得到一个结果集，需要从中逐行或一次性取出数据。而对于INSERT、UPDATE、DELETE等操作，我们更关心的是操作是否成功，以及影响了多少行数据。

数据获取：

在PDO中，

fetch()

fetchAll()

fetch()

fetchAll()

// 假设 $stmtAll 已经执行并有结果
while ($row = $stmtAll->fetch(PDO::FETCH_ASSOC)) { // PDO::FETCH_ASSOC 获取关联数组
    // 处理每一行数据
}

// 或者
$allProducts = $stmtAll->fetchAll(PDO::FETCH_ASSOC);
foreach ($allProducts as $row) {
    // 处理所有数据
}

对于非SELECT操作，我们通常用

rowCount()

lastInsertId()

错误处理与异常捕获：

数据库操作，尤其是网络连接和数据处理，总是伴随着各种潜在的错误，比如数据库服务器宕机、连接超时、SQL语法错误、权限不足等等。良好的错误处理机制能够让你的应用程序更健壮，也能帮助你更快地定位问题。

PDO的优势在于它能够以异常（Exception）的形式报告错误。这意味着你可以使用PHP标准的

try...catch

PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION

PDOException

try {
    // 你的数据库操作代码
    $pdo->query("SELECT * FROM non_existent_table"); // 故意制造一个错误
} catch (PDOException $e) {
    // 捕获到PDOException
    error_log("数据库错误: " . $e->getMessage()); // 记录错误到日志
    // 在生产环境中，给用户一个友好的提示，而不是直接显示错误信息
    echo "抱歉，服务器忙，请稍后再试。";
    // 也可以根据错误码进行更细致的判断和处理
    // if ($e->getCode() == '42S02') { // SQLSTATE for base table or view not found
    //     echo "表不存在！";
    // }
}

我个人习惯是，在开发阶段，直接显示错误信息有助于调试；但在生产环境，务必将错误信息记录到日志文件（使用

error_log()