PHP + MySQL 实现数据插入的完整实例与最佳实践

温以宁

发布时间：2026-10-14| 9人浏览过

原创

本文将演示如何在 PHP 中执行 MySQL 插入操作，涵盖从 HTML 表单接收数据、连接数据库到执行 INSERT 语句的全过程。针对原示例中使用已废弃函数的安全隐患，我们将提供基于 PDO 预处理语句的现代替代方案，确保数据安全与代码兼容性。

传统实现方式分析

在早期的 PHP 开发中，开发者常使用 mysql_connect 和 mysql_query 等函数进行数据库交互。以下是一个典型的基于原生函数的插入逻辑结构：

表单构建：创建一个 <form> 标签，使用 POST 方法提交国家、动物英文名和中文名。
参数获取与清洗：通过 $_POST 获取数据，并使用 mysql_escape_string 进行转义以防止简单的注入。
连接与选择库：建立连接并选择目标数据库（如 phpdev）。
执行插入：拼接 SQL 字符串并执行，成功后输出 mysql_insert_id() 以确认记录 ID。

虽然上述逻辑在功能上可行，但需要注意的是，mysql_* 系列函数已在 PHP 7.0 中被完全移除。此外，手动拼接 SQL 字符串极易遭受 SQL 注入攻击，即使使用了转义函数，也不是最安全的做法。因此，推荐使用面向对象的PDO扩展或mysqli扩展。

推荐方案：使用 PDO 进行安全插入

PDO（PHP Data Objects）提供了更灵活且安全的数据库访问接口。结合预处理语句（Prepared Statements），可以有效隔离代码与数据，从根本上杜绝 SQL 注入风险。

第1步：建立 PDO 连接

首先，定义数据库连接参数（主机、用户名、密码、库名）。建议使用 try-catch 块来捕获可能的连接异常。

<?php
$host = 'localhost';
$db   = 'phpdev';
$user = 'root';
$pass = 'your_password'; // 请修改为实际密码
$charset = 'utf8mb4';

$dsn = "mysql:host=$host;dbname=$db;charset=$charset";
$options = [
    PDO::ATTR_ERRMODE            => PDO::ERRMODE_EXCEPTION,
    PDO::ATTR_DEFAULT_FETCH_MODE => PDO::FETCH_ASSOC,
    PDO::ATTR_EMULATE_PREPARES   => false,
];

try {
    $pdo = new PDO($dsn, $user, $pass, $options);
} catch (\PDOException $e) {
    throw new \PDOException($e->getMessage(), (int)$e->getCode());
}
?

第2步：处理表单提交

当用户提交表单时，检查 $_SERVER['REQUEST_METHOD'] 是否为 POST。获取输入值后，务必进行非空校验。

if ($_SERVER["REQUEST_METHOD"] === "POST") {
    $country   = $_POST["country"] ?? '';
    $animal    = $_POST["animal"] ?? '';
    $cname     = $_POST["cname"] ?? '';

    // 简单校验
    if (empty($country) || empty($animal) || empty($cname)) {
        echo "所有字段均不能为空";
        exit;
    }

第3步：执行预处理插入语句

使用占位符（如 :country）编写 SQL 语句，然后通过 execute() 传入真实数据。这是防止注入的关键步骤。

$sql = "INSERT INTO symbols (country, animal, cname) VALUES (:country, :animal, :cname)";
$stmt = $pdo->prepare($sql);

$result = $stmt->execute([
    ':country' => $country,
    ':animal'  => $animal,
    ':cname'   => $cname
]);

if ($result) {
    // 获取最后插入的ID
    $lastId = $pdo->lastInsertId();
    echo "记录已成功插入，新ID为: " . htmlspecialchars($lastId);
} else {
    echo "插入失败，请检查数据格式";
}

HTML 表单部分

为了配合上述 PHP 逻辑，前端需要一个简单的 HTML 表单。请确保 action 属性指向当前脚本，method 为 post。

<form action="insert.php" method="post">
    <label>国家:</label><br>
    <input type="text" name="country" required /><br>
    
    <label>动物名称（英文）:</label><br>
    <input type="text" name="animal" required /><br>
    
    <label>动物名称（中文）:</label><br>
    <input type="text" name="cname" required /><br>
    
    <input type="submit" value="提交表单" />
</form>

注意事项与安全建议

密码保护：原文示例中的数据库密码明文出现在代码中，生产环境应使用环境变量或配置文件加载敏感信息。
XSS 防护：在输出用户输入的内容到 HTML 页面时（如显示成功消息），请使用 htmlspecialchars() 进行转义，防止跨站脚本攻击。
字符集：建议在数据库连接 DSN 中指定 charset=utf8mb4 以支持完整的 Unicode 字符，包括 emoji。