使用PHP PDO连接与操作MySQL数据库：完整教程-php教程-PHP中文网

使用PHP PDO连接与操作MySQL数据库：完整教程

霞舞

发布： 2025-10-18 12:17:01

原创

428人浏览过

使用PHP PDO连接与操作MySQL数据库：完整教程

本教程详细指导如何在php中使用pdo（php数据对象）安全高效地连接到mysql数据库并执行数据操作。文章涵盖了从建立数据库连接、配置dsn、处理潜在错误，到执行预处理语句进行数据查询和遍历结果的完整流程，旨在帮助开发者掌握利用pdo进行数据库交互的核心技能。

在现代PHP应用开发中，与数据库进行交互是核心功能之一。PHP数据对象（PDO）提供了一个轻量级、一致的接口，用于连接各种数据库。与传统的数据库扩展（如mysqli）相比，PDO的优势在于其统一的API、强大的安全性（特别是对SQL注入的防护）和更好的可移植性。本教程将专注于使用PDO连接MySQL数据库，并执行基本的数据查询操作。

1. 理解PHP PDO

PDO是PHP的内置扩展，它为PHP应用程序访问数据库提供了一个统一的接口。这意味着无论您使用MySQL、PostgreSQL、SQLite还是其他数据库，都可以使用相似的代码结构进行操作。PDO的核心优势在于：

统一接口： 无需学习不同数据库的特定API。
安全性： 通过预处理语句（Prepared Statements）有效防止SQL注入攻击。
性能： 预处理语句可以被数据库服务器缓存，提高重复执行时的效率。
错误处理： 提供一致且强大的错误报告机制。

2. 建立MySQL数据库连接

连接到MySQL数据库是使用PDO的第一步。这涉及到构建一个数据源名称（DSN）、提供用户名和密码，并处理可能出现的连接错误。

2.1 DSN（数据源名称）的构建

DSN是一个字符串，它包含了连接数据库所需的所有信息，例如数据库类型、主机地址和数据库名称。对于MySQL，DSN的格式通常是mysql:host=your_host;dbname=your_database_name。

立即学习“PHP免费学习笔记（深入）”；

2.2 PDO构造函数与参数

PDO类的构造函数接受三个主要参数：

DSN字符串：指定数据库类型、主机和数据库名。
用户名：连接数据库的用户。
密码：对应用户的密码。

2.3 示例代码：建立连接

以下代码演示了如何使用PDO连接到MySQL数据库，其中主机为localhost，数据库名为meta，用户名为root，密码为password。为了提高代码的健壮性，我们通常会使用try-catch块来捕获潜在的连接错误。

<?php
$host = 'localhost'; // 数据库主机地址
$dbname = 'meta';    // 数据库名称
$username = 'root';  // 数据库用户名
$password = 'password'; // 数据库密码

$dsn = "mysql:host=$host;dbname=$dbname;charset=utf8mb4"; // DSN字符串，指定UTF-8编码

try {
    // 创建PDO实例
    $pdo = new PDO($dsn, $username, $password);

    // 设置PDO错误模式为异常，这样在出现错误时会抛出PDOException
    $pdo->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);
    // 设置默认的获取模式为关联数组
    $pdo->setAttribute(PDO::ATTR_DEFAULT_FETCH_MODE, PDO::FETCH_ASSOC);

    echo "数据库连接成功！";

} catch (PDOException $e) {
    // 捕获PDO连接异常
    echo "数据库连接失败: " . $e->getMessage();
    // 在生产环境中，不应直接输出错误信息，而应记录到日志
    exit(); // 终止脚本执行
}
?>

登录后复制

代码解释：

charset=utf8mb4: 强烈建议在DSN中指定字符集，以避免乱码问题。utf8mb4支持更广泛的字符集，包括Emoji。
PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION: 这是PDO错误处理的最佳实践。当数据库操作失败时，PDO会抛出一个PDOException，允许我们通过try-catch块优雅地处理错误。
PDO::ATTR_DEFAULT_FETCH_MODE, PDO::FETCH_ASSOC: 设置默认的查询结果获取模式为关联数组，方便通过列名访问数据。

3. 执行SQL查询与数据获取

成功建立连接后，下一步是执行SQL查询并获取结果。PDO通过预处理语句提供了一种安全且高效的方式来完成此操作。

PPT.CN,PPTCN,PPT.CN是什么,PPT.CN官网,PPT.CN如何使用

一键操作，智能生成专业级PPT

查看详情

3.1 预处理语句 (prepare()) 的重要性

预处理语句是PDO防止SQL注入的核心机制。它将SQL查询的结构与数据值分开。首先，您发送一个带有占位符的SQL模板到数据库服务器；然后，再将数据值绑定到这些占位符上。数据库服务器在执行查询前会区分代码和数据，从而阻止恶意代码的注入。

3.2 执行语句 (execute())

在准备好语句后，使用execute()方法执行它。如果您的查询包含参数，需要将参数数组传递给execute()。

3.3 获取结果 (fetch(), fetchAll(), 遍历)

执行查询后，您可以通过多种方式获取结果：

fetch(): 获取结果集中的下一行。
fetchAll(): 获取结果集中的所有行。
直接遍历PDOStatement对象：对于大型结果集，这是一种内存效率更高的方式。

3.4 示例代码：查询数据

假设我们要从数据库中的user_info表中获取所有数据：

<?php
// ... (前面建立PDO连接的代码，假设$pdo实例已成功创建) ...

// 示例：从'user_info'表中获取所有数据
try {
    $stmt = $pdo->prepare("SELECT * FROM user_info"); // 准备查询语句
    $stmt->execute(); // 执行语句

    echo "<h2>用户信息：</h2>";
    echo "<table border='1'>";
    echo "<tr><th>ID</th><th>用户名</th><th>邮箱</th></tr>"; // 假设表有ID, username, email列

    // 遍历结果集并输出
    foreach ($stmt as $row) {
        echo "<tr>";
        echo "<td>" . htmlspecialchars($row['id']) . "</td>";
        echo "<td>" . htmlspecialchars($row['username']) . "</td>";
        echo "<td>" . htmlspecialchars($row['email']) . "</td>";
        echo "</tr>";
    }
    echo "</table>";

    // 示例：使用参数化查询获取特定用户
    echo "<h2>特定用户信息 (ID = 1)：</h2>";
    $userId = 1;
    $stmt_specific = $pdo->prepare("SELECT * FROM user_info WHERE id = :id"); // 使用命名占位符
    $stmt_specific->bindParam(':id', $userId, PDO::PARAM_INT); // 绑定参数，指定数据类型
    $stmt_specific->execute();

    $user = $stmt_specific->fetch(); // 获取一行结果

    if ($user) {
        echo "<p>用户名: " . htmlspecialchars($user['username']) . "</p>";
        echo "<p>邮箱: " . htmlspecialchars($user['email']) . "</p>";
    } else {
        echo "<p>未找到ID为 {$userId} 的用户。</p>";
    }

} catch (PDOException $e) {
    echo "查询失败: " . $e->getMessage();
    exit();
}
?>

登录后复制

代码解释：

$stmt = $pdo->prepare("SELECT * FROM user_info");: 创建一个PDOStatement对象，其中包含待执行的SQL查询。
$stmt->execute();: 执行预处理语句。对于不带参数的SELECT语句，直接调用即可。
foreach ($stmt as $row): 这是一个非常简洁且内存高效的方式来遍历查询结果。$row将是一个关联数组（因为我们设置了PDO::FETCH_ASSOC）。
htmlspecialchars(): 在输出用户提供或从数据库中检索的数据时，使用此函数可以有效防止XSS（跨站脚本攻击）。
参数化查询示例： 演示了如何使用命名占位符（:id）和bindParam()方法来安全地传递参数。bindParam()允许您指定参数的数据类型，这进一步增强了安全性。

4. PDO最佳实践与注意事项

为了确保您的数据库交互代码安全、高效且易于维护，请遵循以下最佳实践：

始终使用预处理语句： 这是防止SQL注入攻击的最重要措施。永远不要直接将用户输入拼接到SQL查询字符串中。
完善的错误处理： 使用try-catch块捕获PDOException，并在生产环境中将错误信息记录到日志，而不是直接显示给用户。
配置连接选项： 在创建PDO实例时，设置PDO::ATTR_ERRMODE为PDO::ERRMODE_EXCEPTION，并考虑设置PDO::ATTR_DEFAULT_FETCH_MODE为您常用的获取模式。
敏感信息管理： 数据库凭据（用户名、密码）不应硬编码在公共可访问的文件中。考虑使用环境变量、配置文件或秘密管理服务来存储和访问这些敏感信息。
关闭连接： 虽然PHP脚本执行完毕后会自动关闭数据库连接，但在某些特定场景（例如，需要立即释放资源或切换到不同数据库）下，可以通过将PDO实例设置为null来显式关闭连接：$pdo = null;。