如何利用PHP和MySQL实现Web查询数据库？

从Web查询数据库之PHP与MySQL篇

在现代网络开发中，使用PHP和MySQL进行Web数据库查询是一个常见的任务，本文将详细介绍如何从Web查询数据库，包括基本步骤、代码示例以及常见问题解答。

一、基本步骤

1、检查并过滤用户数据：

使用trim()函数去除用户输入的空白字符。

使用addslashes()、stripslashes()和get_magic_quotes_gpc()等函数对用户输入的数据进行转义和过滤，防止SQL注入攻击。

2、建立数据库连接：

PHP提供了MySQLi扩展来连接MySQL数据库，可以选择面向对象或面向过程的方式来连接数据库。

面向对象方式：$db = new mysqli('hostname', 'username', 'password', 'dbname');

面向过程方式：$db = mysqli_connect('hostname', 'username', 'password', 'dbname');

3、选择数据库：

使用use dbname;命令在MySQL命令行中选择数据库。

在PHP中，可以使用$db->select_db(dbname);或mysqli_select_db($db, dbname);来选择数据库。

4、执行查询操作：

构造SQL查询语句，如SELECT * FROM user;。

使用$result = $db->query($query);或$result = mysqli_query($db, $query);执行查询。

5、获取查询结果：

使用不同的函数以不同的方式将查询结果从结果对象或标识符中取出来。

常用的函数有fetch_assoc()、fetch_row()、fetch_object()等。

6、关闭数据库连接：

先释放结果集：$result->free();或mysqli_free_result($result);

然后关闭数据库连接：$db->close();或mysqli_close($db);

二、代码示例

以下是一个简单的PHP脚本示例，演示了如何连接到MySQL数据库并执行查询操作：

<?php
// 定义数据库连接参数
$servername = "localhost";
$username = "username";
$password = "password";
$dbname = "myDB";
// 创建连接
$conn = new mysqli($servername, $username, $password, $dbname);
// 检查连接是否成功
if ($conn->connect_error) {
    die("连接失败: " . $conn->connect_error);
}
// 构造查询语句
$sql = "SELECT id, name, email FROM myTable";
$result = $conn->query($sql);
// 输出每行数据
if ($result->num_rows > 0) {
    // 输出每行数据
    while($row = $result->fetch_assoc()) {
        echo "id: " . $row["id"]. " Name: " . $row["name"]. " Email: " . $row["email"]. "<br>";
    }
} else {
    echo "0 结果";
}
// 关闭连接
$conn->close();
?>

三、常见问题解答（FAQs）

Q1: 如何防止SQL注入攻击？

A1: 为了防止SQL注入攻击，应该始终对用户输入的数据进行过滤和验证，可以使用PHP中的filter_var()函数来验证数据类型，并使用addslashes()函数来对字符串进行转义，还可以使用预处理语句（prepared statements）来执行SQL查询，这可以有效地防止SQL注入攻击。

Q2: 如何在PHP中使用预处理语句？

A2: 在PHP中使用预处理语句需要使用MySQLi扩展的面向对象接口，准备一个带有占位符的SQL查询模板，然后使用prepare()方法编译该模板，并使用bind_param()方法绑定参数值，使用execute()方法执行查询，以下是一个示例代码：

<?php
$servername = "localhost";
$username = "username";
$password = "password";
$dbname = "myDB";
// 创建连接
$conn = new mysqli($servername, $username, $password, $dbname);
// 检查连接是否成功
if ($conn->connect_error) {
    die("连接失败: " . $conn->connect_error);
}
// 准备SQL语句和绑定参数
$stmt = $conn->prepare("INSERT INTO myTable (name, email) VALUES (?, ?)");
$stmt->bind_param("ss", $name, $email);
// 设置参数并执行
$name = "John Doe";
$email = "john@example.com";
$stmt->execute();
echo "新记录插入成功";
$stmt->close();
$conn->close();
?>