PHP编程SQL语句怎么学_PHPSQL编程学习要点【须知】-php教程-PHP中文网

必须用 pdo 或 mysqli 预处理+参数绑定操作数据库，这是起点而非进阶；直接拼接 sql 字符串极易导致 sql 注入，addslashes() 和 mysql_real_escape_string() 均不可靠；预处理分离 sql 结构与数据，占位符仅支持值绑定，类型需显式声明。

php编程sql语句怎么学_phpsql编程学习要点【须知】

别从拼字符串写 SELECT * 开始学，那是在给自己埋 SQL 注入雷；真正要练的，是用 PDO 或 mysqli 做预处理 + 参数绑定 —— 这不是“进阶技巧”，而是 PHP 操作数据库的起点线。

为什么不能直接拼接 SQL 字符串

用户输入一进 "SELECT * FROM users WHERE name = '$name'"，就等于把数据库大门钥匙塞给对方。哪怕加了 addslashes() 或 mysql_real_escape_string()（已废弃），也挡不住多字节编码绕过、宽字节注入等变种攻击。

mysqli_real_escape_string() 只对当前连接字符集生效，SET NAMES gbk 后可能失效
addslashes() 不识别数据库协议，纯字符串替换，完全不可靠
前端传来的 $_GET['id'] 是字符串，但后端当整数用时，不校验类型就直接拼进 SQL，id=1 OR 1=1 就能绕过

必须用 PDO::prepare() 绑定参数

预处理语句把 SQL 结构和数据彻底分离：SQL 模板先编译，参数在执行时单独传入。数据库引擎不会把绑定值当 SQL 解析，天然免疫注入。

占位符只支持 ?（位置参数）或 :name（命名参数），不能用于表名、字段名、排序方向等动态结构
绑定值类型由 PDO::PARAM_INT、PDO::PARAM_STR 显式声明，避免隐式转换出错
批量插入用 INSERT INTO t VALUES (?, ?), (?, ?) + 循环 execute()，比逐条执行快 3–5 倍

示例：

btpanel phpsite 宝塔面板PHP网站

宝塔面板 PHP 网站管理：站点创建、删除、启停、PHP 版本切换、域名管理、SSL证书管理、伪静态管理、数据库管理

下载

$stmt = $pdo->prepare("SELECT id, name FROM users WHERE status = ? AND created_at > ?");
$stmt->execute([1, '2025-01-01']);
$rows = $stmt->fetchAll();

WHERE 条件里容易漏掉的边界情况

写 WHERE 不只是填等号，更要考虑空值、范围、模糊匹配和逻辑组合的真实业务约束。

IS NULL 和 = NULL 效果完全不同，后者永远返回 false
日期范围建议用 BETWEEN '2025-01-01' AND '2025-12-31 23:59:59'，而不是 >= '2025-01-01' AND （会丢掉当天最后一秒）
LIKE 模糊查询必须用 bindValue() 绑定带通配符的完整值，如 $stmt->bindValue(1, "%{$keyword}%")，不能写成 name LIKE '%?%'
多个 AND/OR 混用时，务必加括号明确优先级，比如 (type = 1 OR type = 2) AND status = 1

性能陷阱：别让 SELECT * 拖垮应用

查 10 个字段却只用其中 2 个，不仅浪费网络带宽，还可能让索引失效、触发临时表、拖慢磁盘 I/O。

明确列出所需字段，例如 SELECT user_id, nickname, avatar_url，而不是 SELECT *
大文本字段（TEXT、MEDIUMTEXT）尽量延迟加载，或单独建扩展表
LIMIT 1 要加在确定只需一条结果的场景（如查唯一登录态），否则分页时必须配合 ORDER BY + 索引字段，否则 OFFSET 越大越慢
COUNT(*) 在 InnoDB 中需扫描索引，若只要判断“是否存在”，用 SELECT 1 FROM t WHERE ... LIMIT 1 更轻量