PHP连接MySQL添加数据的三种方法

PHP连接MySQL添加数据有3种方式：传统mysql_query（不推荐）、mysqli和PDO。其中mysqli和PDO均支持预处理语句，可有效防止SQL注入。mysqli是专为MySQL设计的扩展，提供面向对象和过程两种API，性能较优；PDO则提供统一的数据库抽象接口，便于切换不同数据库类型。两者均推荐使用，选择取决于项目需求和个人偏好，若需多数据库支持，首选PDO；若仅用MySQL且追求性能，则选mysqli。此外，无论哪种方式都应使用预处理语句、验证输入、遵循最小权限原则以确保安全。

PHP连接MySQL后添加数据，主要有三种方式：传统mysql_query（不推荐），mysqli和PDO。各有优劣，选择哪个取决于你的项目需求和个人偏好。

mysqli 和 PDO 都是推荐的方式，可以有效防止 SQL 注入。

mysqli 方式

mysqli 是 MySQL improved 的缩写，是 PHP 官方提供的 MySQL 扩展，提供了面向对象和面向过程两种 API。

connect_error) {
  die("连接失败: " . $conn->connect_error);
}

$sql = "INSERT INTO MyGuests (firstname, lastname, email)
VALUES ('John', 'Doe', 'john@example.com')";

if ($conn->query($sql) === TRUE) {
  echo "新记录插入成功";
} else {
  echo "Error: " . $sql . "
" . $conn->error;
}

$conn->close();
?>

这段代码展示了 mysqli 的基本用法。当然，更推荐使用预处理语句来防止 SQL 注入：

connect_error) {
  die("连接失败: " . $conn->connect_error);
}

// 准备 SQL 语句
$stmt = $conn->prepare("INSERT INTO MyGuests (firstname, lastname, email) VALUES (?, ?, ?)");
$stmt->bind_param("sss", $firstname, $lastname, $email);

// 设置参数并执行
$firstname = "John";
$lastname = "Doe";
$email = "john@example.com";
$stmt->execute();

$firstname = "Jane";
$lastname = "Doe";
$email = "jane@example.com";
$stmt->execute();


echo "新记录插入成功";

$stmt->close();
$conn->close();
?>

使用预处理语句，可以将 SQL 语句和数据分离，避免直接拼接字符串，从而有效防止 SQL 注入。

PDO 方式

PDO (PHP Data Objects) 是一个为PHP访问数据库定义了一个轻量级的、一致性的接口。 也就是说，不管你使用什么数据库，都可以使用相同的函数（方法）来查询和获取数据。 PDO并非一个数据库抽象层，它只是一组规范，依赖具体的数据库驱动来实现。

setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);
  $sql = "INSERT INTO MyGuests (firstname, lastname, email)
  VALUES ('John', 'Doe', 'john@example.com')";
  // 使用 exec() ，因为没有结果返回
  $conn->exec($sql);
  echo "新记录插入成功";
} catch(PDOException $e) {
  echo $sql . "
" . $e->getMessage();
}

$conn = null;
?>

PDO 同样支持预处理语句：

setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);

  // 预处理 SQL 语句
  $stmt = $conn->prepare("INSERT INTO MyGuests (firstname, lastname, email) VALUES (:firstname, :lastname, :email)");
  $stmt->bindParam(':firstname', $firstname);
  $stmt->bindParam(':lastname', $lastname);
  $stmt->bindParam(':email', $email);

  // 插入第一行
  $firstname = "John";
  $lastname = "Doe";
  $email = "john@example.com";
  $stmt->execute();

  // 插入第二行
  $firstname = "Jane";
  $lastname = "Doe";
  $email = "jane@example.com";
  $stmt->execute();

  echo "新记录插入成功";

} catch(PDOException $e) {
  echo "Error: " . $e->getMessage();
}
$conn = null;
?>

PDO 的优势在于其数据库抽象能力，方便切换数据库类型。

如何选择 mysqli 和 PDO？

这其实是个老生常谈的问题。

• 性能： mysqli 在连接 MySQL 时通常略快一些，因为它是专门为 MySQL 设计的。
• 数据库抽象： PDO 提供了更好的数据库抽象能力，如果你的项目未来可能需要支持多种数据库，PDO 是更好的选择。
• 易用性： 两者在使用上都比较简单，主要看个人偏好。mysqli 提供了面向对象和面向过程两种 API，选择更灵活。
• 安全性： 两者都支持预处理语句，可以有效防止 SQL 注入。

总的来说，如果你的项目只使用 MySQL，并且对性能有一定要求，mysqli 可能更适合。如果你的项目需要支持多种数据库，或者你更喜欢 PDO 的 API 风格，那么 PDO 也是一个不错的选择。

如何避免 SQL 注入？

这是个非常重要的问题，无论你选择 mysqli 还是 PDO，都必须重视 SQL 注入的防范。

• 使用预处理语句： 这是防止 SQL 注入最有效的方法。预处理语句可以将 SQL 语句和数据分离，避免直接拼接字符串。
• 使用参数化查询： 参数化查询与预处理语句类似，也是将 SQL 语句和数据分离。
• 对用户输入进行严格的验证和过滤： 永远不要信任用户的输入。对用户输入的数据进行严格的验证和过滤，可以有效防止恶意代码的注入。
• 最小权限原则： 数据库用户只应该拥有完成其工作所需的最小权限。

如何处理数据库连接错误？

数据库连接错误是常见的错误，需要进行妥善处理。

• 使用 try-catch 块： 可以使用 try-catch 块来捕获数据库连接错误，并进行相应的处理。
• 记录错误日志： 将数据库连接错误记录到错误日志中，方便排查问题。
• 向用户显示友好的错误信息： 不要直接向用户显示数据库连接错误的详细信息，这可能会暴露敏感信息。可以向用户显示友好的错误信息，例如“服务器繁忙，请稍后再试”。

除了 mysqli 和 PDO，还有其他方式连接 MySQL 吗？

虽然 mysqli 和 PDO 是目前最主流的 PHP 连接 MySQL 的方式，但也有一些其他的选择：

• mysql 扩展（已弃用）： 这是 PHP 最早提供的 MySQL 扩展，但由于安全性问题，已经被官方弃用，不建议使用。
• 第三方库： 有一些第三方库也提供了 PHP 连接 MySQL 的功能，例如 Doctrine DBAL。这些库通常提供了更多的功能和抽象，但也会增加项目的复杂性。

总之，选择哪种方式取决于你的项目需求和个人偏好。但无论选择哪种方式，都必须重视安全性，避免 SQL 注入等安全问题。