PHP数据库访问：从基础到高级，构建安全高效的应用325

```html

在现代Web开发中，数据库是几乎所有动态网站和应用程序的基石。它们负责存储、管理和检索关键数据，例如用户信息、商品信息、博客文章等。PHP作为最流行的服务器端脚本语言之一，其强大的数据库交互能力是构建复杂Web应用不可或缺的一部分。本文将深入探讨PHP如何访问数据库，从传统方法到推荐实践，涵盖MySQLi和PDO两种主要扩展，并重点关注安全性与性能。

无论是构建一个简单的表单提交页面，还是开发一个大型电子商务平台，理解PHP与数据库之间的通信机制都至关重要。我们将通过具体的代码示例，展示如何连接数据库、执行CRUD（创建、读取、更新、删除）操作，并讨论如何预防常见的安全漏洞，如SQL注入。

PHP数据库访问的演进与选择

PHP发展至今，提供了多种与数据库交互的方式。了解它们的演进过程和各自的优缺点，有助于我们做出明智的技术选型。

1. `mysql_` 系列函数（已废弃）

在PHP 5.5版本之前，`mysql_` 系列函数是与MySQL数据库交互的主要方式。例如 `mysql_connect()`、`mysql_query()` 等。然而，由于其设计上的缺陷，包括不支持预处理语句（preparedStatement），导致极易受到SQL注入攻击，并且缺乏面向对象的接口，这些函数在PHP 5.5中被标记为废弃，并在PHP 7.0中被完全移除。强烈建议任何新项目或现有项目都不要再使用这些函数。

2. MySQLi (MySQL Improved Extension)

MySQLi（MySQL 改进扩展）是专门为MySQL数据库设计的一个扩展。它提供了两种API风格：
面向对象风格：使用 `new mysqli()` 创建对象，并通过对象方法进行操作。这是更推荐的方式。
面向过程风格：与 `mysql_` 函数类似，使用 `mysqli_connect()`、`mysqli_query()` 等函数。

MySQLi支持预处理语句、事务、多语句查询等功能，是与MySQL数据库交互的强大且安全的选择。

3. PDO (PHP Data Objects)

PDO是PHP数据对象（PHP Data Objects）的缩写，是PHP提供的一个轻量级、一致性的接口层，用于连接和操作各种数据库。与MySQLi不同，PDO不仅限于MySQL，它可以通过不同的驱动程序支持多种数据库，例如MySQL、PostgreSQL、SQLite、Oracle等。这意味着如果你将来需要更换数据库类型，只需修改连接字符串和少量代码即可，而无需重写所有数据库操作逻辑。PDO被认为是PHP数据库访问的最佳实践。

在接下来的章节中，我们将主要关注MySQLi（面向对象风格）和PDO这两种现代且安全的数据库访问方式。

使用MySQLi访问数据库

MySQLi提供了面向对象和面向过程两种接口，但我们强烈推荐使用面向对象的接口，因为它更符合现代编程范式，并且代码可读性更强。

1. 建立数据库连接

首先，我们需要创建`mysqli`类的实例来建立与数据库的连接。
<?php
$servername = "localhost";
$username = "your_username";
$password = "your_password";
$dbname = "your_database";
// 创建连接
$conn = new mysqli($servername, $username, $password, $dbname);
// 检查连接
if ($conn->connect_error) {
die("连接失败: " . $conn->connect_error);
}
echo "数据库连接成功！";
?>

2. 执行查询（SELECT）

执行SELECT查询并获取结果集。这里我们会先展示传统方式，再强调预处理语句。

a. 传统方式（不推荐用于用户输入）

这种方式简单，但如果查询字符串中包含用户输入，极易导致SQL注入。
<?php
// ... 连接代码 ...
$sql = "SELECT id, firstname, lastname, email FROM users";
$result = $conn->query($sql);
if ($result->num_rows > 0) {
// 输出每行数据
while($row = $result->fetch_assoc()) {
echo "id: " . $row["id"]. " - Name: " . $row["firstname"]. " " . $row["lastname"]. " - Email: " . $row["email"]. "<br>";
}
} else {
echo "0 结果";
}
$conn->close();
?>

b. 使用预处理语句（推荐）

预处理语句是防止SQL注入的关键。它将SQL语句和参数分开处理。
<?php
// ... 连接代码 ...
$stmt = $conn->prepare("SELECT id, firstname, lastname, email FROM users WHERE id = ?");
$user_id = 1; // 假设要查询ID为1的用户
// 绑定参数 "i" 表示整数类型
$stmt->bind_param("i", $user_id);
// 执行查询
$stmt->execute();
// 获取结果
$result = $stmt->get_result();
if ($result->num_rows > 0) {
while($row = $result->fetch_assoc()) {
echo "id: " . $row["id"]. " - Name: " . $row["firstname"]. " " . $row["lastname"]. " - Email: " . $row["email"]. "<br>";
}
} else {
echo "0 结果";
}
$stmt->close();
$conn->close();
?>

`bind_param` 的类型字符：
`i`: 整数 (integer)
`d`: 双精度浮点数 (double)
`s`: 字符串 (string)
`b`: 二进制大对象 (blob)

3. 插入数据（INSERT）

使用预处理语句插入数据同样是最佳实践。
<?php
// ... 连接代码 ...
$stmt = $conn->prepare("INSERT INTO users (firstname, lastname, email) VALUES (?, ?, ?)");
$firstname = "John";
$lastname = "Doe";
$email = "@";
// 绑定参数 "sss" 表示三个字符串类型
$stmt->bind_param("sss", $firstname, $lastname, $email);
if ($stmt->execute()) {
echo "新记录插入成功！";
} else {
echo "错误: " . $stmt->error;
}
$stmt->close();
$conn->close();
?>

4. 更新数据（UPDATE）

更新数据也应使用预处理语句。
<?php
// ... 连接代码 ...
$stmt = $conn->prepare("UPDATE users SET lastname = ? WHERE id = ?");
$new_lastname = "Smith";
$user_id = 1;
// 绑定参数 "si" 表示一个字符串，一个整数
$stmt->bind_param("si", $new_lastname, $user_id);
if ($stmt->execute()) {
echo $stmt->affected_rows . " 条记录更新成功！";
} else {
echo "错误: " . $stmt->error;
}
$stmt->close();
$conn->close();
?>

5. 删除数据（DELETE）

删除操作同样需要预处理语句来确保安全。
<?php
// ... 连接代码 ...
$stmt = $conn->prepare("DELETE FROM users WHERE id = ?");
$user_id = 3;
// 绑定参数 "i" 表示整数
$stmt->bind_param("i", $user_id);
if ($stmt->execute()) {
echo $stmt->affected_rows . " 条记录删除成功！";
} else {
echo "错误: " . $stmt->error;
}
$stmt->close();
$conn->close();
?>

6. 关闭连接

完成所有数据库操作后，务必关闭连接以释放资源。
<?php
// ... 数据库操作 ...
$conn->close();
?>

使用PDO访问数据库

PDO提供了一套更加统一和灵活的API，是处理多种数据库类型的首选。其错误处理机制也更为健壮。

1. 建立数据库连接

PDO连接通过DSN（Data Source Name）字符串指定数据库类型、主机、数据库名等信息。
<?php
$servername = "localhost";
$username = "your_username";
$password = "your_password";
$dbname = "your_database";
try {
$conn = new PDO("mysql:host=$servername;dbname=$dbname", $username, $password);
// 设置PDO错误模式为异常
$conn->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);
echo "数据库连接成功！";
} catch(PDOException $e) {
die("连接失败: " . $e->getMessage());
}
?>

`PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION` 这行代码非常重要，它告诉PDO在发生错误时抛出异常，这样我们就可以使用`try...catch`块来捕获和处理错误，而不是让PHP脚本默默失败或显示警告。

2. 执行查询（SELECT）

PDO的预处理语句使用命名占位符（`:name`）或问号占位符（`?`）。命名占位符可读性更好。

a. 使用命名占位符的预处理语句（推荐）

<?php
// ... 连接代码 ...
$stmt = $conn->prepare("SELECT id, firstname, lastname, email FROM users WHERE id = :id");
$user_id = 1;
// 绑定参数
$stmt->bindParam(':id', $user_id);
// 执行查询
$stmt->execute();
// 设置结果集为关联数组
$result = $stmt->fetchAll(PDO::FETCH_ASSOC);
if ($result) {
foreach ($result as $row) {
echo "id: " . $row["id"]. " - Name: " . $row["firstname"]. " " . $row["lastname"]. " - Email: " . $row["email"]. "<br>";
}
} else {
echo "0 结果";
}
// 不需要显式关闭连接，当PDO对象不再被引用时，连接会自动关闭。
// 但如果需要，可以设置 $conn = null;
$conn = null;
?>

b. 使用问号占位符的预处理语句

<?php
// ... 连接代码 ...
$stmt = $conn->prepare("SELECT id, firstname, lastname, email FROM users WHERE id = ? AND firstname = ?");
$user_id = 1;
$firstname = "John";
// 绑定参数，顺序很重要
$stmt->bindParam(1, $user_id);
$stmt->bindParam(2, $firstname);
// 执行查询
$stmt->execute();
// 或者更简洁的方式，直接在execute()中传递数组
// $stmt->execute([$user_id, $firstname]);
$result = $stmt->fetchAll(PDO::FETCH_ASSOC);
if ($result) {
foreach ($result as $row) {
echo "id: " . $row["id"]. " - Name: " . $row["firstname"]. " " . $row["lastname"]. " - Email: " . $row["email"]. "<br>";
}
} else {
echo "0 结果";
}
$conn = null;
?>

3. 插入数据（INSERT）

<?php
// ... 连接代码 ...
$stmt = $conn->prepare("INSERT INTO users (firstname, lastname, email) VALUES (:firstname, :lastname, :email)");
$firstname = "Jane";
$lastname = "Doe";
$email = "@";
// 绑定参数并执行
if ($stmt->execute([':firstname' => $firstname, ':lastname' => $lastname, ':email' => $email])) {
echo "新记录插入成功！ID: " . $conn->lastInsertId();
} else {
echo "错误: " . $stmt->errorCode(); // 或者 $stmt->errorInfo();
}
$conn = null;
?>

4. 更新数据（UPDATE）

<?php
// ... 连接代码 ...
$stmt = $conn->prepare("UPDATE users SET lastname = :lastname WHERE id = :id");
$new_lastname = "Williams";
$user_id = 2;
if ($stmt->execute([':lastname' => $new_lastname, ':id' => $user_id])) {
echo $stmt->rowCount() . " 条记录更新成功！";
} else {
echo "错误: " . $stmt->errorCode();
}
$conn = null;
?>

5. 删除数据（DELETE）

<?php
// ... 连接代码 ...
$stmt = $conn->prepare("DELETE FROM users WHERE id = :id");
$user_id = 4;
if ($stmt->execute([':id' => $user_id])) {
echo $stmt->rowCount() . " 条记录删除成功！";
} else {
echo "错误: " . $stmt->errorCode();
}
$conn = null;
?>

6. 事务处理 (Transactions)

事务允许将一组数据库操作作为一个单一的逻辑工作单元执行。要么所有操作都成功并提交，要么所有操作都失败并回滚。这对于需要保持数据一致性的复杂操作至关重要。
<?php
// ... 连接代码 ...
try {
// 开启事务
$conn->beginTransaction();
// 操作1: 从用户A的账户扣钱
$stmt1 = $conn->prepare("UPDATE accounts SET balance = balance - :amount WHERE user_id = :user_id");
$stmt1->execute([':amount' => 100, ':user_id' => 101]);
// 操作2: 给用户B的账户加钱
$stmt2 = $conn->prepare("UPDATE accounts SET balance = balance + :amount WHERE user_id = :user_id");
$stmt2->execute([':amount' => 100, ':user_id' => 102]);
// 如果所有操作都成功，提交事务
$conn->commit();
echo "交易成功完成！";
} catch (PDOException $e) {
// 发生错误时回滚事务
$conn->rollBack();
echo "交易失败: " . $e->getMessage();
}
$conn = null;
?>

数据库访问的安全与最佳实践

数据库安全是Web应用开发中最重要的方面之一。不当的数据库操作可能导致数据泄露、数据损坏甚至网站被完全控制。以下是一些关键的安全和最佳实践：

1. 始终使用预处理语句（Prepared Statements）

这是防止SQL注入攻击的最有效方法。预处理语句将SQL语句的结构与用户输入的数据分离。数据库服务器在执行语句前会先解析语句结构，然后再将数据填充进去，从而避免恶意代码被解释为SQL指令。

2. 错误处理与日志记录

不要向用户直接显示详细的数据库错误信息：攻击者可以利用这些信息来了解你的数据库结构。在生产环境中，应该记录错误到日志文件，并向用户显示一个友好的通用错误页面。
使用 `try...catch` 块处理PDO异常：这使得错误处理更加健壮和可控。
为MySQLi配置错误报告：可以使用 `mysqli_report(MYSQLI_REPORT_ERROR | MYSQLI_REPORT_STRICT);` 来让MySQLi在出错时抛出异常。

3. 输入验证和数据过滤

验证输入：在将用户数据传递给数据库之前，验证其格式、类型和范围。例如，确保电子邮件地址是有效的，数字是整数，日期格式正确等。
过滤输入：使用PHP内置的过滤函数（如 `filter_var()`）或自定义函数来清理和净化用户输入，移除不必要的字符或潜在的恶意内容。

4. 输出转义

当从数据库获取数据并将其显示在HTML页面上时，始终对数据进行转义。使用 `htmlspecialchars()` 或 `htmlentities()` 函数可以防止跨站脚本（XSS）攻击，即恶意脚本被注入到网页中并在用户浏览器中执行。
<?php
$unsafe_data = "<script>alert('XSS!');</script>User data";
echo htmlspecialchars($unsafe_data, ENT_QUOTES, 'UTF-8');
// 输出: <script>alert('XSS!');</script>User data
?>