PHP增删改查流程搭建与实战详解

本文深入剖析了PHP使用MySQLi进行数据库增删改查（CRUD）的完整实战流程，聚焦于生产环境中极易被忽视却至关重要的稳定性与安全性细节：从建立带超时控制和utf8mb4字符集的健壮数据库连接、强制采用预处理语句防范SQL注入并优化批量插入性能，到分页查询中规避内存溢出的逐行迭代技巧、通过影响行数校验杜绝UPDATE/DELETE误操作，再到贯穿始终的资源显式释放（连接、结果集、预处理语句）与事务严谨管理——每一步都直击新手踩坑痛点，提供可直接落地的代码范式与工程化建议，助你写出既安全可靠又高效可控的数据库操作代码。

怎么用 mysqli_connect 建立稳定数据库连接

PHP 连接 MySQL 最常用的是 mysqli_connect，但直接裸调用容易忽略错误处理和连接复用问题。不检查返回值、不设超时、混用面向过程和面向对象风格，是新手最常踩的坑。

• mysqli_connect 返回 false 时必须立刻判断，不能直接拿去执行查询
• 建议显式设置 mysqli_options($conn, MYSQLI_OPT_CONNECT_TIMEOUT, 5)，避免网络卡顿时脚本挂死
• 连接成功后立即执行 mysqli_set_charset($conn, 'utf8mb4')，否则中文存入可能变问号
• 不要在每个函数里都重新连一次——把连接资源作为参数传入，或封装为单例（简单项目用全局变量也行，但别叫 $conn，改用 $db 更明确）

if (!$db = mysqli_connect('localhost', 'root', 'pass', 'test_db', 3306)) {
    die('连接失败：' . mysqli_connect_error());
}
mysqli_set_charset($db, 'utf8mb4');

INSERT 语句怎么防 SQL 注入又保持可读性

拼接字符串写 INSERT INTO ... VALUES ('$_POST[name]') 是绝对禁止的。预处理语句不是可选项，是必选项。注意 mysqli_prepare 的返回值可能为 false（比如 SQL 语法错），且 bind_param 的类型字符顺序必须和占位符一一对应。

• 所有用户输入必须走 mysqli_stmt_bind_param，s 表示字符串，i 表示整数，d 表示浮点，b 表示 blob
• 插入后用 mysqli_stmt_insert_id($stmt) 拿自增 ID，别再查一遍
• 批量插入不要循环 prepare —— prepare 一次，bind 多次，效率高得多
• 如果字段名来自配置或变量，需提前白名单校验，不能直接插进 SQL 字符串

$stmt = mysqli_prepare($db, "INSERT INTO users (name, email, age) VALUES (?, ?, ?)");
mysqli_stmt_bind_param($stmt, "sii", $name, $email, $age);
$name = $_POST['name'] ?? '';
$email = $_POST['email'] ?? '';
$age = (int)($_POST['age'] ?? 0);
mysqli_stmt_execute($stmt);
$user_id = mysqli_stmt_insert_id($stmt);

SELECT 查询怎么避免 fetch_all 吃光内存

mysqli_fetch_all($result, MYSQLI_ASSOC) 看起来方便，但一次性把全部结果加载进 PHP 内存，在数据量大时会触发 OOM。真实业务中更常用的是逐行迭代，尤其做导出、同步或分页场景。

• 分页必须用 LIMIT offset, size，但注意大 offset 性能差，后期应改用游标分页（如 WHERE id > ? ORDER BY id LIMIT ?）
• 查单条用 mysqli_fetch_assoc($result)，查多条用 while ($row = mysqli_fetch_assoc($result))
• 结果集用完立刻 mysqli_free_result($result)，尤其在长生命周期脚本里（如 CLI 或队列任务）
• 不要对未定义字段做 $row['xxx'] 直接访问，先用 isset($row['xxx']) 或 $row['xxx'] ?? null

$result = mysqli_query($db, "SELECT id, name, email FROM users WHERE status = 1 LIMIT 20");
while ($row = mysqli_fetch_assoc($result)) {
    echo $row['name'] . ' 
';
}
mysqli_free_result($result);

UPDATE 和 DELETE 怎么确认影响行数防止误操作

mysqli_affected_rows($db) 是关键指标。它返回上一次 INSERT/UPDATE/DELETE 影响的行数，不是“是否成功”，而是“是否真改了数据”。很多人只看 query 是否报错，却没发现 WHERE 条件写错导致 0 行被更新，还以为成功了。

• UPDATE 前建议先用 SELECT COUNT(*) 验证条件是否命中预期数据（开发/测试环境可用，线上慎用）
• DELETE 必须带 WHERE，且建议加 mysqli_query($db, "SET SQL_SAFE_UPDATES=1")（MySQL 侧防护）
• UPDATE 后立刻检查 mysqli_affected_rows($db)，等于 0 要记录日志或抛异常，而不是静默继续
• 事务中执行多个操作时，每个语句都要单独检查影响行数，别只看最后一个

$sql = "UPDATE users SET email = ? WHERE id = ?";
$stmt = mysqli_prepare($db, $sql);
mysqli_stmt_bind_param($stmt, "si", $new_email, $id);
mysqli_stmt_execute($stmt);
if (mysqli_affected_rows($db) === 0) {
    error_log("警告：ID {$id} 未找到，UPDATE 无影响");
}

整个流程里最容易被忽略的不是语法，而是连接生命周期管理：连接没关、结果集没释放、预处理语句没 close、事务没 commit/rollback —— 这些不会立刻报错，但会在高并发或长时间运行时暴露为连接泄漏、内存增长、锁表。哪怕脚本结束 PHP 会自动清理，也建议显式调用 mysqli_close($db)，特别是在 CLI 或常驻进程中。

文中关于的知识介绍，希望对你的学习有所帮助！若是受益匪浅，那就动动鼠标收藏这篇《PHP增删改查流程搭建与实战详解》文章吧，也可关注golang学习网公众号了解相关技术文章。