PHP数据库怎么连接_PHP连接MySQL数据库方法与实例

星夢妙者

发布时间：2025-09-26 22:59:01

832人浏览过

来源于php中文网

原创

PHP连接MySQL推荐使用mysqli或PDO，其中PDO因数据库抽象层、预处理语句防SQL注入、异常处理等优势更适用于新项目；通过正确配置DSN、用户名、密码及错误处理可实现安全连接，并利用预处理和最小权限原则提升安全性。

php数据库怎么连接_php连接mysql数据库方法与实例

PHP连接MySQL数据库的核心，在于利用PHP内置的数据库扩展，比如历史悠久的mysql（已废弃）、主流的mysqli（MySQL Improved Extension），以及更具通用性的PDO（PHP Data Objects）。它们提供了一套API，让你的PHP代码能像与人对话一样，和MySQL服务器进行通信，发送指令（SQL查询）、接收数据，完成增删改查这些基本操作。理解它们的工作原理和最佳实践，是构建任何动态网站的基础。

解决方案

连接MySQL数据库，我们主要推荐使用mysqli或PDO。坦白说，如果你的项目只针对MySQL，mysqli用起来也挺顺手；但如果未来可能需要切换到其他数据库类型，或者追求更统一、更现代的编程范式，PDO无疑是更好的选择。

使用mysqli扩展连接数据库（面向对象风格）

这种方式更符合现代PHP的编程习惯，代码也相对清晰。

立即学习“PHP免费学习笔记（深入）”；

connect_error) {
    // 哎呀，连接失败了！这里通常会记录错误，而不是直接显示给用户
    die("连接失败: " . $conn->connect_error);
}

// 设置字符集，这很重要，避免中文乱码问题
$conn->set_charset("utf8mb4");

echo "数据库连接成功！
";

// 接下来就可以执行SQL查询了
$sql = "SELECT id, name, email FROM users";
$result = $conn->query($sql);

if ($result) {
    if ($result->num_rows > 0) {
        // 输出每行数据
        while($row = $result->fetch_assoc()) {
            echo "id: " . $row["id"]. " - Name: " . $row["name"]. " - Email: " . $row["email"]. "
";
        }
    } else {
        echo "0 结果";
    }
    // 释放结果集
    $result->free();
} else {
    echo "查询执行失败: " . $conn->error;
}


// 完成所有操作后，关闭连接，释放资源
$conn->close();
?>

使用PDO扩展连接数据库

PDO提供了一个统一的接口来访问各种数据库，它的优势在于其抽象层和更强大的预处理语句支持。

setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);
    // 设置默认的fetch模式，例如关联数组
    $pdo->setAttribute(PDO::ATTR_DEFAULT_FETCH_MODE, PDO::FETCH_ASSOC);

    echo "数据库连接成功 (PDO)！
";

    // 执行一个简单的查询
    $stmt = $pdo->query("SELECT id, name, email FROM users");
    $users = $stmt->fetchAll(); // 获取所有结果

    if ($users) {
        foreach ($users as $row) {
            echo "id: " . $row["id"]. " - Name: " . $row["name"]. " - Email: " . $row["email"]. "
";
        }
    } else {
        echo "0 结果";
    }

} catch (PDOException $e) {
    // 捕获连接或查询过程中可能发生的PDO异常
    die("连接失败或查询错误: " . $e->getMessage());
}

// PDO连接在脚本结束时会自动关闭，也可以显式地设置为null
$pdo = null;
?>

PHP连接MySQL时常见的错误有哪些？如何排查？

连接数据库时，遇到错误简直是家常便饭，别慌，这很正常。我个人在开发中，也经常因为一些小细节卡住。常见的错误大概有这么几种：

"Access denied for user 'xxx'@'localhost' (using password: YES/NO)"：这个错误最常见，它直接告诉你用户名或密码不对，或者这个用户没有权限从当前主机连接。
- 排查方法：
  - 仔细检查PHP代码中的$username和$password，是不是和MySQL数据库里设置的一模一样。
  - 去MySQL里看看这个用户是否存在，以及它是否有权限从localhost（或者你PHP应用所在的主机IP）连接。GRANT ALL PRIVILEGES ON your_database.* TO 'your_username'@'localhost' IDENTIFIED BY 'your_password'; 类似这样的命令可以授权。
  - 有时候是MySQL用户没有设置密码，但代码里却传了密码，或者反过来。
"Unknown database 'your_database'"：很明显，你PHP代码里指定的数据库名在MySQL服务器上不存在。
- 排查方法：
  - 检查$dbname变量是否拼写正确。
  - 登录MySQL客户端，用SHOW DATABASES;命令确认数据库确实存在。
"Can't connect to MySQL server on 'localhost' (10061)" 或 "Connection refused"：这通常意味着PHP无法和MySQL服务器建立网络连接。
- 排查方法：
  - MySQL服务是否运行？ 这是第一步。在Linux上可以sudo systemctl status mysql或sudo service mysql status，Windows上在服务管理器里看。
  - 主机地址和端口是否正确？ 确保$servername是正确的IP或域名，$port（如果指定了）也是MySQL监听的端口。
  - 防火墙？ 服务器防火墙可能阻止了PHP应用访问MySQL的3306端口。需要开放这个端口。
  - MySQL是否监听了正确的地址？ 有时候MySQL只监听127.0.0.1，如果你的PHP应用不在同一台机器上，或者通过其他网络接口访问，就需要配置MySQL监听0.0.0.0或特定的IP。检查MySQL配置文件（my.cnf或my.ini）中的bind-address。
"Call to undefined function mysqli_connect()" 或 "could not find driver" (PDO)：这意味着PHP缺少必要的数据库扩展。
- 排查方法：
  - 检查你的php.ini文件。找到extension=mysqli或extension=pdo_mysql这一行，确保它们没有被注释掉（前面没有分号;）。
  - 修改php.ini后，记得重启你的Web服务器（Apache/Nginx）和PHP-FPM服务。
  - 使用phpinfo()函数，搜索mysqli或PDO，看它们是否已启用。

排查这些问题，我的经验是，错误信息本身就是最好的线索。仔细阅读它，它往往直接指出了问题所在。然后，从最基本的服务状态、配置开始检查，一步步缩小范围。

使用PDO连接数据库有什么优势？何时选择PDO而非mysqli？

PDO和mysqli都是PHP连接MySQL的有效方式，但我个人更倾向于在大多数新项目中推荐使用PDO。它确实有一些非常显著的优势：

Difeye-敏捷的轻量级PHP框架

Difeye是一款超轻量级PHP框架，主要特点有： Difeye是一款超轻量级PHP框架，主要特点有： ◆数据库连接做自动主从读写分离配置，适合单机和分布式站点部署； ◆支持Smarty模板机制，可灵活配置第三方缓存组件； ◆完全分离页面和动作，仿C#页面加载自动执行Page_Load入口函数； ◆支持mysql，mongodb等第三方数据库模块，支持读写分离，分布式部署； ◆增加后台管理开发示例

下载

PDO的优势：

数据库抽象层 (Database Abstraction Layer, DAL)：这是PDO最大的亮点。它提供了一个统一的API来连接多种不同的数据库系统（MySQL, PostgreSQL, SQLite, SQL Server等）。这意味着如果你将来决定从MySQL切换到PostgreSQL，你的大部分数据库操作代码都不需要重写，只需要修改DSN（数据源名称）字符串就行了。这对于大型项目或者需要支持多种数据库的应用来说，简直是救星。
更强的安全性（预处理语句）：PDO的预处理语句（Prepared Statements）实现得非常优雅和直观。它能有效防止SQL注入攻击，因为查询语句和参数是分开发送给数据库服务器的，数据库会先解析查询模板，然后再将参数绑定进去，避免了恶意代码的执行。
灵活的错误处理：PDO支持多种错误处理模式，最常用的是PDO::ERRMODE_EXCEPTION。这意味着当数据库操作出错时，PDO会抛出PDOException异常，你可以用标准的try-catch块来捕获和处理这些错误，让代码结构更清晰、更健壮。
面向对象设计：PDO是完全面向对象的，其API设计更符合现代PHP的编程范式，使得代码更易于理解和维护。
命名参数：PDO支持命名参数（如:name, :email），这在处理复杂查询或有大量参数时，比位置参数（?）更具可读性。

何时选择PDO而非mysqli？

项目可能需要支持多种数据库时：如果你开发的应用程序需要具备跨数据库兼容性，或者未来有迁移数据库的可能，PDO是你的不二之选。
追求代码的通用性和可维护性时：PDO的抽象层减少了数据库特定的代码，使得代码更通用，也更容易维护。
对安全性有较高要求时：虽然mysqli也支持预处理语句，但PDO的实现通常被认为更简洁、更易于正确使用，从而更好地防止SQL注入。
偏好面向对象编程风格时：如果你习惯并喜欢使用面向对象的PHP代码，PDO的API会让你感觉更自然。
希望有更灵活的错误处理机制时：PDO的异常处理机制比mysqli的基于返回值的错误检查更现代、更强大。

坦白讲，对于大多数新的PHP项目，我都会推荐使用PDO。除非你的项目已经大量依赖mysqli，或者只是一个非常简单的、明确不会扩展到其他数据库的脚本，否则PDO带来的长期收益远大于初期学习成本。

如何确保PHP数据库连接的安全性，防止SQL注入？

数据库安全，尤其是防止SQL注入，是任何Web开发人员都必须掌握的技能。我见过太多因为SQL注入导致数据泄露的案例，所以这方面绝对不能掉以轻心。

使用预处理语句（Prepared Statements）：
- 这是防止SQL注入的黄金法则，没有之一。 预处理语句的工作原理是，你先将SQL查询的结构发送给数据库服务器，用占位符（?或命名参数如:name）代替实际的数据值。数据库服务器会预先编译这个查询模板。然后，你再将实际的数据值作为参数发送给服务器。数据库会将这些值安全地绑定到查询中，而不会将它们解释为SQL代码的一部分。
- mysqli中的实现：
```
$stmt = $conn->prepare("INSERT INTO users (name, email) VALUES (?, ?)");
$stmt->bind_param("ss", $name, $email); // "ss"表示两个参数都是字符串类型
$stmt->execute();
$stmt->close();
```
- PDO中的实现：
```
$stmt = $pdo->prepare("INSERT INTO users (name, email) VALUES (:name, :email)");
$stmt->bindParam(':name', $name);
$stmt->bindParam(':email', $email);
$stmt->execute();
// 或者更简洁地：
// $stmt->execute([':name' => $name, ':email' => $email]);
```
- 切记：所有来自用户输入（GET参数、POST数据、COOKIE、HTTP头等）的数据，在用于SQL查询时，都必须通过预处理语句来处理。
最小权限原则（Principle of Least Privilege）：
- 为数据库用户分配尽可能少的权限。例如，如果一个PHP应用只需要读取数据，就只给它SELECT权限；如果需要增删改，就只给INSERT, UPDATE, DELETE权限。永远不要给Web应用连接的数据库用户GRANT ALL PRIVILEGES或者ROOT权限。
- 这样即使应用被攻破，攻击者也无法通过数据库连接执行任意的系统命令或破坏其他数据库。
输入验证和过滤（Input Validation and Filtering）：
- 虽然预处理语句是防SQL注入的主要手段，但输入验证和过滤仍然是重要的第二道防线。在数据进入数据库之前，检查其格式、类型、长度等是否符合预期。
- 例如，如果一个字段应该是一个整数，就使用is_numeric()或filter_var($input, FILTER_VALIDATE_INT)来验证。
- 对所有用户输入进行HTML实体编码（htmlspecialchars()），防止XSS攻击，这虽然不是直接防SQL注入，但也是Web安全的重要一环。
错误信息控制：
- 在生产环境中，不要向用户显示详细的数据库错误信息。这些错误信息可能包含数据库结构、查询语句、用户名等敏感信息，这会给攻击者提供宝贵的线索。
- 将错误信息记录到服务器日志中，以便开发人员进行排查，但只向用户显示一个友好的、通用的错误提示页面。
使用强密码：
- 为你的数据库用户设置复杂、难以猜测的强密码。结合大小写字母、数字和特殊符号，并定期更换。
保持软件更新：
- 及时更新PHP版本、MySQL服务器以及相关的数据库驱动。软件供应商会不断修复已知的安全漏洞，保持更新能有效降低被攻击的风险。
避免动态拼接SQL语句：
- 除非你对数据来源有100%的信任（比如硬编码的常量），否则永远不要直接将用户输入拼接到SQL查询字符串中。即使是看似无害的排序字段或表名，也可能被利用进行SQL注入。如果确实需要动态改变表名或列名，你可能需要使用白名单机制来严格控制。