最简可靠写法是使用 mysqli::prepare() 和 bind_param() 进行参数化查询：先创建连接并检查错误，再预处理语句、绑定字符串参数、执行并获取 insert_id，最后关闭资源。
PHP 用 mysqli 插入单条记录最简可靠写法
直接上能跑通、防 SQL 注入、带错误提示的最小完整代码，不是伪代码，也不是 PDO 示例——你复制粘贴就能在 PHP 7.4+ 环境里执行。
$conn = new mysqli($host, $username, $password, $database);if ($conn->connect_error) { die('连接失败: ' . $conn->connect_error); }
$name = '张三'; $email = 'zhangsan@example.com';
$stmt = $conn->prepare('INSERT INTO users (name, email) VALUES (?, ?)'); $stmt->bind_param('ss', $name, $email);
if ($stmt->execute()) { echo '新增成功，ID：' . $conn->insert_id; } else { echo '插入失败：' . $stmt->error; }
$stmt->close(); $conn->close(); ?>
-
mysqli::prepare()和bind_param()是必须的，不拼接字符串，否则就是裸奔式 SQL 注入 -
'ss'表示两个参数都是字符串；如果插入的是整数（比如age），要改成'si'（s=string, i=integer） -
$conn->insert_id才是刚插入那条记录的真实自增 ID，别用mysql_insert_id()（已废弃）或自己 SELECT LAST_INSERT_ID() - 表名
users和字段名name/email要和你实际数据库一致，大小写敏感（尤其在 Linux 环境）
为什么不用 mysql_query() 拼接 SQL 字符串
这种写法看着短，但只要用户输入带单引号或 SQL 关键字，立刻崩：
- 哪怕加了
mysqli_real_escape_string()，也挡不住多字节编码绕过、宽字节注入等边界情况 - prepare + bind_param 是 MySQL 官方推荐的参数化查询路径，语义清晰、驱动层校验、类型安全
- PHP 8.1+ 已彻底移除
mysql_*函数族，连mysql_connect()都不存在了
插入失败常见报错及对应检查点
运行时看到类似下面的提示？别急着改代码，先看这些地方：
立即学习“PHP免费学习笔记（深入）”；
-
Call to a member function prepare() on bool→$conn创建失败，检查数据库地址、账号密码、库名是否拼错，或 MySQL 服务没起来 -
Unknown column 'xxx' in 'field list'→INSERT INTO users (xxx)里的字段名不存在，用DESCRIBE users查下真实字段名 -
Data too long for column→ 字段定义长度不够，比如VARCHAR(10)却插了 15 个字符，改表或截断数据 -
Field 'xxx' doesn't have a default value→ 某字段不允许 NULL 又没给值，要么 INSERT 里补上，要么 ALTER TABLE 设默认值或允许 NULL
如果必须用 PDO，该怎么写才不出错
不是所有项目都能用 mysqli，有些框架强制 PDO。注意三个关键点：
- DSN 里加上
;charset=utf8mb4，否则中文存成乱码或报错 - 设置
PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION，不然错误静默失败 - 占位符统一用
:name命名风格，别混用?位置占位符和命名占位符
setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);$stmt = $pdo-youjiankuohaophpcnprepare('INSERT INTO users (name, email) VALUES (:name, :email)'); $stmt-youjiankuohaophpcnexecute([':name' =youjiankuohaophpcn '李四', ':email' =youjiankuohaophpcn 'lisi@example.com']); echo '新增成功，ID：' . $pdo-youjiankuohaophpcnlastInsertId();} catch (PDOException $e) { echo '错误：' . $e->getMessage(); } ?>
实际部署时，
$pdo连接应复用（比如封装成单例或依赖注入），而不是每次插入都 new 一次。字段多、逻辑复杂时，建议把 INSERT 封装进函数，但 prepare/execute 这两步不能省。
