PHP数据库执行多条SQL语句安全限制说明-php教程-PHP中文网

mysqli_query()不支持多语句执行，因mysqli默认禁用该功能以防范sql注入；必须使用mysqli_multi_query()，但需手动处理结果集、上下文隔离及错误检查，且仍存在注入风险。

php数据库执行多条sql语句安全限制说明

mysqli_query() 不能执行多条 SQL 语句，强行拼接分号会导致只执行第一条或直接报错；必须用 mysqli_multi_query()，但仍有上下文隔离、错误处理和注入风险等硬性限制。

为什么 `mysqli_query()` 不支持多语句

MySQLi 默认禁用多语句执行，这是底层客户端库的安全策略——防止攻击者在单个输入点注入多条恶意命令（比如 DROP TABLE users; --）。即使你把 CREATE DATABASE 和 USE db_name; 写在同一字符串里，mysqli_query() 也只会解析并执行第一个语句，后续内容被忽略或触发 You have an error in your SQL syntax 错误。

常见错误现象：

SQL 字符串含多个分号，但只创建了数据库，没建表
执行后无报错但表不存在，查 mysqli_error() 发现是“Unknown database”
用 mysqli_query($conn, "CREATE DATABASE test; USE test;")，第二条 USE 完全不生效

用 `mysqli_multi_query()` 的三个前提条件

它能执行多语句，但每条语句仍独立运行，且不会自动继承前一条的上下文（比如数据库选择）。必须手动推进结果集并检查每条语句的状态。

必须用 mysqli_next_result() 主动跳转到下一条语句的结果，否则后续 mysqli_store_result() 会失败
USE database_name 这类语句没有返回结果集，但会影响后续语句的执行环境；如果中间有错误，后续语句仍会继续执行（不中断）
所有语句共用同一个连接上下文，但无法跨语句共享变量或临时表，也不能依赖前一条语句的 LAST_INSERT_ID() 等状态

示例片段：

DrugBank 数据库

访问并分析来自 DrugBank 数据库的全面药物信息，包括药物属性、相互作用、靶点、通路、化学结构和药理学数据。用于药物数据、药物发现研究、药理学研究、药物-

下载

if (mysqli_multi_query($conn, "CREATE DATABASE IF NOT EXISTS myapp; USE myapp; CREATE TABLE users(id INT)")) {
    do {
        if ($result = mysqli_store_result($conn)) {
            mysqli_free_result($result);
        }
    } while (mysqli_next_result($conn));
}