mysqli_multi_query易出错因其仅按分号切分执行、无语法校验、无参数绑定、无自动回滚，易致sql注入、部分执行、连接卡死；安全替代是事务+预处理语句。
mysqli_multi_query 不能安全地执行多条 SQL 语句——它本身不提供语句隔离、参数绑定或自动错误中断机制，直接使用极易引发 SQL 注入、部分执行、资源泄漏等问题。
为什么 mysqli_multi_query 容易出错
这个函数只是把一整段字符串按分号切开、依次送进 MySQL 执行，中间不做任何语法校验、参数转义或事务封装。常见问题包括：
- 任意一条语句失败（比如
INSERT主键冲突），后续语句仍会继续执行，无法回滚 - 用户输入若拼进原始 SQL 字符串（如用
$_POST['table']拼接表名），mysqli_real_escape_string对表名/列名无效，直接触发注入 - 返回结果集和非查询语句（如
UPDATE）混在一起，必须手动调用mysqli_store_result和mysqli_next_result，漏掉一个就会卡死连接 - MySQL 默认关闭多语句支持（
mysqli.options(MYSQLI_OPT_MULTI_STATEMENTS, true)必须显式开启，否则静默失败）
替代方案：用事务 + 单条预处理语句组合
真正安全的做法是放弃“一次传多条”，改用 mysqli_begin_transaction + 多次 mysqli_prepare，每条语句独立绑定参数：
$mysqli = new mysqli('localhost', 'u', 'p', 'db');
$mysqli->begin_transaction();
$stmt1 = $mysqli->prepare("INSERT INTO users (name) VALUES (?)");
$stmt1->bind_param("s", $name);
$stmt1->execute();
$stmt2 = $mysqli->prepare("UPDATE logs SET status = ? WHERE id = ?");
$stmt2->bind_param("si", $status, $log_id);
$stmt2->execute();
if ($mysqli->errno) {
$mysqli->rollback();
} else {
$mysqli->commit();
}
这样每条语句都受类型约束、自动转义，失败时可统一回滚。
如果真要硬用 mysqli_multi_query，必须满足这三点
仅限于执行完全可信的、无用户输入的管理类脚本（如部署时建表+初始化数据），且需手动补全所有安全环节：
- 确认 MySQL 配置已启用多语句：
mysqli_options($link, MYSQLI_OPT_MULTI_STATEMENTS, true) - SQL 字符串必须来自硬编码或白名单配置，绝不可拼接
$_GET/$_POST等外部输入 - 必须循环处理全部结果：
do { $result = mysqli_store_result($link); if ($result) mysqli_free_result($result); } while (mysqli_more_results($link) && mysqli_next_result($link))，否则连接会被锁住
实际项目里，真正需要“多语句原子性”的场景极少；绝大多数所谓“多条 SQL”本质是业务逻辑，该拆成多个带事务控制的步骤，而不是塞进一个字符串里赌运气。
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
