php和mysql插入数据需使用预处理语句和事务以确保安全与效率。1. 使用预处理语句（prepared statements）绑定参数可防止sql注入，提高代码可读性和执行效率；2. 批量插入时应结合事务（transaction），通过begintransaction()开启、execute()循环插入、commit()提交，保证数据一致性并提升性能；3. 获取自增id可用$conn->lastinsertid()方法；4. 处理重复键可使用on duplicate key update语句实现存在则更新、不存在则插入的功能；5. 避免sql注入应始终使用预处理而非拼接sql；6. 调试错误应开启错误报告、检查sql语句、查看数据库日志并使用try-catch捕获异常。这些技巧能有效提升数据插入的安全性与可靠性。
PHP和mysql的数据操作，插入数据是基础中的基础。但别以为INSERT INTO就完事了，这里面门道可深着呢。
直接使用预处理语句和绑定参数，防止sql注入。
如何优雅地插入数据？
最常见的，就是INSERT INTO table_name (column1, column2) VALUES (‘value1’, ‘value2’)。但这种方式容易出错，特别是当数据类型不匹配或者需要处理特殊字符时。
立即学习“PHP免费学习笔记（深入）”；
更好的方式是使用预处理语句（Prepared Statements）。
<?php $servername = "localhost"; $username = "username"; $password = "password"; $dbname = "myDB"; try { $conn = new PDO("mysql:host=$servername;dbname=$dbname", $username, $password); // 设置 PDO 错误模式为异常 $conn->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION); // 预处理 SQL 并绑定参数 $stmt = $conn->prepare("INSERT INTO MyGuests (firstname, lastname, email) VALUES (:firstname, :lastname, :email)"); $stmt->bindParam(':firstname', $firstname); $stmt->bindParam(':lastname', $lastname); $stmt->bindParam(':email', $email); // 插入一行 $firstname = "John"; $lastname = "Doe"; $email = "john@example.com"; $stmt->execute(); // 插入另一行 $firstname = "Mary"; $lastname = "Moe"; $email = "mary@example.com"; $stmt->execute(); echo "新记录插入成功"; } catch(PDOException $e) { echo "错误: " . $e->getMessage(); } $conn = null; ?>
这样做的好处是：
- 安全性：有效防止SQL注入攻击。
- 效率：如果需要插入多条数据，预处理语句只需要编译一次，可以大大提高效率。
- 可读性：代码更加清晰易懂。
如何批量插入数据？
如果需要一次性插入大量数据，循环执行INSERT语句效率会非常低。更好的方式是使用事务（Transaction）。
<?php $servername = "localhost"; $username = "username"; $password = "password"; $dbname = "myDB"; try { $conn = new PDO("mysql:host=$servername;dbname=$dbname", $username, $password); // 设置 PDO 错误模式为异常 $conn->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION); // 开始事务 $conn->beginTransaction(); // 预处理 SQL 并绑定参数 $stmt = $conn->prepare("INSERT INTO MyGuests (firstname, lastname, email) VALUES (:firstname, :lastname, :email)"); $stmt->bindParam(':firstname', $firstname); $stmt->bindParam(':lastname', $lastname); $stmt->bindParam(':email', $email); // 准备数据 $data = [ ['firstname' => 'John', 'lastname' => 'Doe', 'email' => 'john@example.com'], ['firstname' => 'Mary', 'lastname' => 'Moe', 'email' => 'mary@example.com'], ['firstname' => 'Julie', 'lastname' => 'Dooley', 'email' => 'julie@example.com'] ]; // 循环插入数据 foreach ($data as $row) { $firstname = $row['firstname']; $lastname = $row['lastname']; $email = $row['email']; $stmt->execute(); } // 提交事务 $conn->commit(); echo "新记录插入成功"; } catch(PDOException $e) { // 回滚事务 $conn->rollback(); echo "错误: " . $e->getMessage(); } $conn = null; ?>
事务的优点在于：
- 原子性：要么全部成功，要么全部失败，保证数据的一致性。
- 效率：减少了数据库的连接次数，提高了插入效率。
如何处理自增ID？
在很多情况下，我们需要获取插入数据后自动生成的ID。
<?php $servername = "localhost"; $username = "username"; $password = "password"; $dbname = "myDB"; try { $conn = new PDO("mysql:host=$servername;dbname=$dbname", $username, $password); // 设置 PDO 错误模式为异常 $conn->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION); $sql = "INSERT INTO MyGuests (firstname, lastname, email) VALUES ('John', 'Doe', 'john@example.com')"; // 使用 exec() ，没有结果返回 $conn->exec($sql); $last_id = $conn->lastInsertId(); echo "新记录插入成功。 最后的 ID 是：". $last_id; } catch(PDOException $e) { echo $sql . "<br>" . $e->getMessage(); } $conn = null; ?>
$conn->lastInsertId() 可以获取最后插入的ID值。注意，这个方法只能获取当前连接中最后一次插入操作的ID。
插入数据时如何处理重复键？
在某些情况下，我们希望如果数据已经存在，则更新数据，否则插入数据。这可以使用 ON DUPLICATE KEY UPDATE 语句实现。
假设我们有一个 users 表，其中 email 字段是唯一索引。
INSERT INTO users (email, name, age) VALUES ('test@example.com', 'Test User', 30) ON DUPLICATE KEY UPDATE name = 'Test User', age = 30;
如果 email 为 ‘test@example.com’ 的记录不存在，则会插入一条新记录。如果存在，则会更新该记录的 name 和 age 字段。
如何避免SQL注入？
SQL注入是Web开发中常见的安全漏洞。攻击者可以通过构造恶意的sql语句来获取、修改或删除数据库中的数据。
避免SQL注入的最佳方式是使用预处理语句和参数绑定。不要直接将用户输入的数据拼接到SQL语句中。
例如，不要这样做：
$email = $_POST['email']; $sql = "SELECT * FROM users WHERE email = '$email'"; // 存在SQL注入风险
应该这样做：
$email = $_POST['email']; $stmt = $pdo->prepare("SELECT * FROM users WHERE email = :email"); $stmt->bindParam(':email', $email); $stmt->execute();
预处理语句会将SQL语句和数据分开处理，从而避免SQL注入。
插入数据时遇到错误如何调试？
- 开启错误报告：在开发环境中，开启PHP的错误报告，可以帮助你快速发现错误。
- 检查SQL语句：仔细检查SQL语句是否正确，包括表名、字段名、数据类型等。
- 查看数据库日志：查看数据库的错误日志，可以获取更详细的错误信息。
- 使用try-catch块：使用try-catch块捕获异常，可以更好地处理错误。
总之，插入数据看似简单，但要做到安全、高效、可靠，需要掌握一些技巧和最佳实践。使用预处理语句、事务、ON DUPLICATE KEY UPDATE 语句，并注意防止SQL注入，可以帮助你编写出更健壮的PHP MySQL代码。
