使用预处理语句可有效防止SQL注入，推荐结合事务和批量执行提升性能，PDO提供数据库抽象层便于移植。
PHP向MySQL插入数据，核心在于构建SQL语句并执行。直接点说，就是拼字符串，然后告诉MySQL“执行这个字符串”。但安全性是重中之重，必须防范SQL注入。
解决方案
最常见的操作流程如下：
-
建立数据库连接：使用
mysqli_connect()函数连接到 MySQL 数据库。 确保提供正确的主机名、用户名、密码和数据库名。立即学习“PHP免费学习笔记（深入）”；
$servername = "localhost"; $username = "your_username"; $password = "your_password"; $dbname = "your_database"; $conn = mysqli_connect($servername, $username, $password, $dbname); if (!$conn) { die("Connection failed: " . mysqli_connect_error()); } -
准备数据：从表单、API 或其他来源获取要插入的数据。
$name = $_POST['name']; $email = $_POST['email'];
-
构建 SQL 语句（重要：防止 SQL 注入！）：使用预处理语句或转义函数来防止 SQL 注入。
-
预处理语句 (推荐)：
$stmt = mysqli_prepare($conn, "INSERT INTO users (name, email) VALUES (?, ?)"); mysqli_stmt_bind_param($stmt, "ss", $name, $email); // "ss" 表示两个字符串类型 if (mysqli_stmt_execute($stmt)) { echo "New record created successfully"; } else { echo "Error: " . mysqli_error($conn); } mysqli_stmt_close($stmt); -
转义函数 (
mysqli_real_escape_string)：$name = mysqli_real_escape_string($conn, $name); $email = mysqli_real_escape_string($conn, $email); $sql = "INSERT INTO users (name, email) VALUES ('$name', '$email')"; if (mysqli_query($conn, $sql)) { echo "New record created successfully"; } else { echo "Error: " . mysqli_error($conn); }注意： 即使使用了
mysqli_real_escape_string，预处理语句仍然是更安全的选择。
-
执行 SQL 语句：使用
mysqli_query()函数执行 SQL 语句。处理结果：检查 SQL 语句是否执行成功，并根据结果显示相应的消息。
-
关闭数据库连接：使用
mysqli_close()函数关闭数据库连接。mysqli_close($conn);
PHP插入数据时，如何避免SQL注入攻击？
SQL注入是安全领域的经典问题，本质上是把用户输入的数据当成了SQL代码的一部分来执行。避免SQL注入，核心在于区分数据和代码。
使用预处理语句 (Prepared Statements)：这是防止 SQL 注入的最佳方法。 预处理语句将 SQL 查询的结构与数据分开。 你首先定义查询的结构，然后将数据作为参数传递给查询。 数据库服务器会安全地处理这些参数，确保它们不会被解释为 SQL 代码。 上面的代码示例已经展示了预处理语句的使用。
使用参数化查询：参数化查询与预处理语句类似，但通常用于更复杂的查询。
-
输入验证和清理：在将数据插入数据库之前，始终验证和清理用户输入。
- 验证：确保数据符合预期的格式和类型。 例如，如果期望一个整数，请确保输入确实是一个整数。
-
清理：删除或转义任何可能被解释为 SQL 代码的字符。
mysqli_real_escape_string()函数可以用来转义特殊字符，但它不如预处理语句安全。
最小权限原则：确保数据库用户只拥有执行其任务所需的最小权限。 例如，如果用户只需要插入数据，则不应授予其删除或修改数据的权限。
使用 Web 应用防火墙 (WAF)：WAF 可以帮助检测和阻止 SQL 注入攻击。
定期更新数据库和 PHP：及时应用安全补丁可以修复已知的漏洞。
除了mysqli，还有其他PHP连接数据库的方式吗？PDO了解一下
当然有，PDO (PHP Data Objects) 是一个轻量级的、一致性的接口，用于在 PHP 脚本中访问数据库。它提供了一种抽象层，使得你可以使用相同的代码来连接和操作不同的数据库系统（例如 MySQL、PostgreSQL、SQLite 等）。
-
连接数据库：
$servername = "localhost"; $username = "your_username"; $password = "your_password"; $dbname = "your_database"; try { $conn = new PDO("mysql:host=$servername;dbname=$dbname", $username, $password); // 设置 PDO 错误模式为异常 $conn->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION); echo "Connected successfully"; } catch(PDOException $e) { echo "Connection failed: " . $e->getMessage(); } -
插入数据 (使用预处理语句)：
try { $stmt = $conn->prepare("INSERT INTO users (name, email) VALUES (:name, :email)"); $stmt->bindParam(':name', $name); $stmt->bindParam(':email', $email); // 插入一行 $name = "John Doe"; $email = "john.doe@example.com"; $stmt->execute(); echo "New record created successfully"; } catch(PDOException $e) { echo "Error: " . $e->getMessage(); } -
关闭连接：
$conn = null;
PDO 的优点在于其数据库抽象层，使得代码更易于移植和维护。同时，PDO 也支持预处理语句，可以有效地防止 SQL 注入攻击。
PHP插入数据后，如何获取自增ID？
在 MySQL 中，通常会使用自增 ID 作为表的主键。 在插入数据后，可以使用 mysqli_insert_id() 或 PDO::lastInsertId() 函数来获取刚刚插入的行的自增 ID。
-
使用
mysqli_insert_id()：$sql = "INSERT INTO users (name, email) VALUES ('$name', '$email')"; if (mysqli_query($conn, $sql)) { $last_id = mysqli_insert_id($conn); echo "New record created successfully. Last inserted ID is: " . $last_id; } else { echo "Error: " . mysqli_error($conn); } -
使用
PDO::lastInsertId()：try { $stmt = $conn->prepare("INSERT INTO users (name, email) VALUES (:name, :email)"); $stmt->bindParam(':name', $name); $stmt->bindParam(':email', $email); $stmt->execute(); $last_id = $conn->lastInsertId(); echo "New record created successfully. Last inserted ID is: " . $last_id; } catch(PDOException $e) { echo "Error: " . $e->getMessage(); }
在使用这些函数之前，需要确保表中存在自增 ID 字段，并且该字段被正确配置。
批量插入数据，怎么优化PHP的性能？
批量插入数据时，如果一条一条地执行 SQL 语句，效率会非常低。 优化性能的关键在于减少与数据库的交互次数。
-
使用单个 SQL 语句插入多行：可以将多行数据组合成一个 INSERT 语句，从而减少与数据库的交互次数。
$values = []; foreach ($data as $row) { $name = mysqli_real_escape_string($conn, $row['name']); $email = mysqli_real_escape_string($conn, $row['email']); $values[] = "('$name', '$email')"; } $sql = "INSERT INTO users (name, email) VALUES " . implode(',', $values); if (mysqli_query($conn, $sql)) { echo "Records created successfully"; } else { echo "Error: " . mysqli_error($conn); }注意： 这种方法仍然需要转义数据以防止 SQL 注入。 并且，如果数据量非常大，单个 SQL 语句可能会超过数据库的限制。
-
使用事务 (Transactions)：事务可以将多个 SQL 语句组合成一个原子操作。 如果事务中的任何一个语句失败，则所有语句都会被回滚。 使用事务可以提高数据的一致性和性能。
mysqli_begin_transaction($conn); try { foreach ($data as $row) { $name = mysqli_real_escape_string($conn, $row['name']); $email = mysqli_real_escape_string($conn, $row['email']); $sql = "INSERT INTO users (name, email) VALUES ('$name', '$email')"; mysqli_query($conn, $sql); } mysqli_commit($conn); echo "Records created successfully"; } catch (Exception $e) { mysqli_rollback($conn); echo "Error: " . $e->getMessage(); } -
使用预处理语句和批量执行：预处理语句可以与批量执行结合使用，以提高性能和安全性。
$stmt = mysqli_prepare($conn, "INSERT INTO users (name, email) VALUES (?, ?)"); mysqli_stmt_bind_param($stmt, "ss", $name, $email); mysqli_begin_transaction($conn); try { foreach ($data as $row) { $name = $row['name']; $email = $row['email']; mysqli_stmt_execute($stmt); } mysqli_commit($conn); echo "Records created successfully"; } catch (Exception $e) { mysqli_rollback($conn); echo "Error: " . $e->getMessage(); } mysqli_stmt_close($stmt); -
禁用自动提交：在批量插入数据之前，可以禁用数据库的自动提交功能。 这样可以减少磁盘 I/O 操作，提高性能。
mysqli_autocommit($conn, FALSE); // ... 插入数据 ... mysqli_commit($conn); mysqli_autocommit($conn, TRUE);
调整 MySQL 配置：可以调整 MySQL 的配置参数，例如
bulk_insert_buffer_size和max_allowed_packet，以优化批量插入的性能。
选择哪种优化方法取决于具体的需求和场景。 通常，使用预处理语句和批量执行结合事务是最佳的选择。
