PHP如何使用PDO连接数据库_PHP使用PDO扩展安全连接数据库指南

mysql_*

<?php
// 数据库连接配置
$host = 'localhost'; // 数据库主机地址
$db   = 'your_database_name'; // 你的数据库名
$user = 'your_username';     // 数据库用户名
$pass = 'your_password';     // 数据库密码
$charset = 'utf8mb4';        // 字符集，推荐utf8mb4以支持emoji等

// 构建DSN (Data Source Name) 字符串
// 这是一个非常关键的字符串，它告诉PDO如何连接到数据库
$dsn = "mysql:host=$host;dbname=$db;charset=$charset";

// 连接选项，这些选项对于安全和错误处理至关重要
$options = [
    // 抛出PDOException错误，而不是静默失败或警告。
    // 这让错误处理变得更明确和方便。
    PDO::ATTR_ERRMODE            => PDO::ERRMODE_EXCEPTION,
    // 默认获取关联数组，方便操作数据。
    // 你也可以设置为PDO::FETCH_OBJ获取对象。
    PDO::ATTR_DEFAULT_FETCH_MODE => PDO::FETCH_ASSOC,
    // 禁用模拟预处理语句。这是防范SQL注入的关键！
    // 确保数据库驱动本身执行预处理，而不是PHP模拟。
    PDO::ATTR_EMULATE_PREPARES   => false,
];

try {
    // 尝试创建PDO实例，建立数据库连接
    $pdo = new PDO($dsn, $user, $pass, $options);
    // echo "数据库连接成功！"; // 实际项目中通常不直接输出

    // 连接成功后，我们就可以执行数据库操作了。
    // 这里展示一个使用预处理语句进行查询的例子，这是PDO安全性的核心。
    $userId = 1; // 假设这是从用户输入或URL参数获取的用户ID
    $stmt = $pdo->prepare("SELECT username, email FROM users WHERE id = :id");
    // 绑定参数，确保数据作为值而不是SQL代码被处理
    $stmt->bindParam(':id', $userId, PDO::PARAM_INT);
    $stmt->execute();
    $user = $stmt->fetch(); // 获取一行数据

    if ($user) {
        // print_r($user); // 在实际应用中，你会将这些数据用于页面展示或业务逻辑
        // echo "查询到用户：" . $user['username'];
    } else {
        // echo "用户未找到。";
    }

} catch (\PDOException $e) {
    // 捕获PDOException异常，处理连接或操作失败的情况
    // 在生产环境中，切忌直接输出错误信息给用户，这可能暴露敏感数据！
    // 应该将错误记录到日志文件，并给用户一个友好的提示。
    // error_log("数据库连接或操作失败: " . $e->getMessage());
    // die("系统繁忙，请稍后重试。");
    // 在开发阶段，为了调试，可以抛出异常：
    throw new \PDOException($e->getMessage(), (int)$e->getCode());
}
?>

PDO::ATTR_EMULATE_PREPARES => false

PDOException

try-catch

mysqli_error()

prepare()

:id

?

bindParam()

bindValue()

execute()

DROP TABLE

PDO::ATTR_EMULATE_PREPARES => false

true

PDO::ATTR_EMULATE_PREPARES

false

// 插入数据示例
$name = "Alice";
$email = "alice@example.com";
$stmt = $pdo->prepare("INSERT INTO users (name, email) VALUES (:name, :email)");
$stmt->bindParam(':name', $name, PDO::PARAM_STR);
$stmt->bindParam(':email', $email, PDO::PARAM_STR);
$stmt->execute();
// echo "用户插入成功，ID: " . $pdo->lastInsertId();

// 更新数据示例
$newEmail = "new.bob@example.com";
$userIdToUpdate = 3;
$stmt = $pdo->prepare("UPDATE users SET email = :newEmail WHERE id = :id");
$stmt->bindParam(':newEmail', $newEmail, PDO::PARAM_STR);
$stmt->bindParam(':id', $userIdToUpdate, PDO::PARAM_INT);
$stmt->execute();
// echo "用户ID " . $userIdToUpdate . " 的邮箱已更新。";

PDOException

PDO::ATTR_ERRMODE

// 连接选项中设置 ERRMODE_EXCEPTION
$options = [
    PDO::ATTR_ERRMODE            => PDO::ERRMODE_EXCEPTION,
    // ... 其他选项
];

try-catch