PHP数据库查询语句调试方法,打印真实SQL-php教程-PHP中文网

查不到数据时，可通过pdo::debugdumpparams()（需开启pdo::attr_emulate_prepares）或mysql general_log抓取真实sql；敏感信息须脱敏处理，避免泄露。

php数据库查询语句调试方法,打印真实sql

查不到数据时，怎么看到PHP实际执行的SQL？

直接 echo 或 var_dump 查询对象本身没用，PDO 和 MySQLi 都不把拼好的 SQL 暴露给开发者。得从底层或调试层抓取。

常见错误现象：PDOStatement::execute() 返回 true 但 fetch() 拿不到数据，或者 WHERE 条件看似正确却查空——这时候你根本不知道 PHP 到底发了什么 SQL 给数据库。

用 PDO::quote() 手动拼接字符串再 echo，仅适用于简单场景，且容易漏掉类型转换（比如 null 变成 'NULL'）
开启 PDO 的 PDO::ATTR_EMULATE_PREPARES = true 后，debugDumpParams() 才能显示参数绑定后的完整 SQL（否则只显示带问号的模板）
MySQLi 不提供等价方法，必须自己模拟：把 $stmt->get_result() 前的 $sql 字符串 + vsprintf() 替换参数（注意转义逻辑要和 MySQLi 内部一致）

使用 PDO::debugDumpParams() 输出带值的 SQL

这是最接近“真实 SQL”的原生方式，但有硬性前提：预处理必须由 PDO 模拟（而非 MySQL 服务端），否则参数不会被替换进语句。

实操建议：

创建 PDO 实例时显式关闭服务端预处理：$pdo = new PDO($dsn, $user, $pass, [PDO::ATTR_EMULATE_PREPARES => true]);

执行 $stmt = $pdo->prepare("SELECT * FROM user WHERE id = ? AND status = ?"); 后，调用 $stmt->debugDumpParams();，输出类似：

SQL: [47] SELECT * FROM user WHERE id = ? AND status = ?<br>Params: 2<br>Key: Position #0:<br>paramno=0<br>name=[0] ""<br>is_param=1<br>param_type=1<br>Key: Position #1:<br>paramno=1<br>name=[0] ""<br>is_param=1<br>param_type=1

—— 这还不是最终 SQL

真正要看到带值的 SQL，得在 execute() 后立刻调用 debugDumpParams()，且传入具体参数数组：$stmt->execute([123, 'active']); $stmt->debugDumpParams();，此时才会显示已替换参数的语句（PDO 内部模拟拼接）

绕过驱动限制：用 MySQL 的 general_log 抓原始请求

当 PDO 设置为 ATTR_EMULATE_PREPARES => false（默认生产环境配置），或你用的是原生 mysqli_query()，debugDumpParams() 就失效了。这时只能靠数据库日志。

DrugBank 数据库

访问并分析来自 DrugBank 数据库的全面药物信息，包括药物属性、相互作用、靶点、通路、化学结构和药理学数据。用于药物数据、药物发现研究、药理学研究、药物-

下载

操作步骤（需有 MySQL 管理权限）：

临时开启全局日志：SET GLOBAL general_log = 'ON'; SET GLOBAL general_log_file = '/tmp/mysql-general.log';
在 PHP 中执行查询后，立刻去读日志文件：tail -f /tmp/mysql-general.log，能看到形如
```
Connect root@localhost on testdb<br>Query SELECT * FROM user WHERE id = 123 AND status = 'active'
```
的原始请求
⚠️ 注意：general_log 会记录所有连接和查询，包括其他应用，且文件增长极快；用完务必关掉：SET GLOBAL general_log = 'OFF';

封装一个安全的 SQL 日志函数（避免敏感信息泄露）

直接打印带密码、token、手机号的 SQL 到页面或日志，线上等于裸奔。必须过滤。

关键点：

不要用 print_r($sql) 了事，要识别并掩码常见敏感字段，比如匹配 /password|passwd|token|auth|phone|mobile/i
对参数值做选择性脱敏：字符串截断前 4 位 + ***，数字保留最后 4 位，null 和布尔值保持原样

示例片段：

$safe_sql = preg_replace_callback('/(\'[^\']*\')/', function($m) {
    $val = trim($m[1], "'");
    return strlen($val) > 8 ? "'" . substr($val, 0, 4) . "***'" : $m[1];
}, $raw_sql);