5154

在现代Web开发中,将存储在数据库中的数据动态地呈现在网页上是一项核心且基础的任务，PHP作为一种服务器端脚本语言，凭借其与MySQL等数据库系统的紧密集成，成为实现这一功能的首选工具之一，本文将系统性地介绍如何使用PHP从数据库中查询并输出数据，内容涵盖从建立连接、执行查询到展示结果的完整流程，并辅以代码示例和最佳实践。

准备工作：建立数据库连接

在与数据库进行任何交互之前,首要步骤是建立一个可靠的连接，PHP提供了两种主要的方式来与MySQL数据库交互：MySQLi（MySQL Improved）和PDO（PHP Data Objects）。

使用MySQLi扩展

MySQLi是专门为MySQL数据库设计的扩展,支持面向对象和面向过程两种编程风格，以下是使用面向对象风格建立连接的示例：

<?php
$servername = "localhost"; // 数据库服务器地址
$username = "username";   // 数据库用户名
$password = "password";   // 数据库密码
$dbname = "my_database";  // 要连接的数据库名称
// 创建连接
$conn = new mysqli($servername, $username, $password, $dbname);
// 检查连接是否成功
if ($conn->connect_error) {
    die("连接失败: " . $conn->connect_error);
}
echo "连接成功";
?>

使用PDO扩展

PDO提供了一个数据访问抽象层,这意味着无论使用哪种数据库，都可以使用相同的函数和方法来发出查询和获取数据，这使得代码更具可移植性，使用PDO建立连接的示例如下：

<?php
$servername = "localhost";
$username = "username";
$password = "password";
$dbname = "my_database";
$charset = "utf8mb4"; // 推荐使用的字符集
try {
    // 创建PDO实例，设置错误模式为异常
    $conn = new PDO("mysql:host=$servername;dbname=$dbname;charset=$charset", $username, $password);
    $conn->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);
    echo "连接成功";
} catch(PDOException $e) {
    die("连接失败: " . $e->getMessage());
}
?>

PDO通过try-catch块处理连接错误，这是一种更现代和健壮的错误处理方式。

核心步骤：执行SQL查询并获取数据

连接成功后,就可以执行SQL查询语句来获取数据了，最常用的查询语句是SELECT。

执行查询

假设我们有一个名为users的表，包含id, username, email和registration_date四个字段，我们想要获取所有用户的信息。

• MySQLi方式：

  $sql = "SELECT id, username, email, registration_date FROM users";
  $result = $conn->query($sql);

• PDO方式：

  

  $sql = "SELECT id, username, email, registration_date FROM users";
  $result = $conn->query($sql);

query()方法会执行SQL语句，并返回一个结果集对象。

从结果集中获取数据

查询返回的$result不是一个可以直接使用的数组，而是一个包含所有查询行的结果集对象，我们需要遍历这个对象，逐行将数据提取出来。

• MySQLi获取数据： 使用fetch_assoc()方法可以将当前行获取为一个关联数组，数组的键是表的列名，这是最常用的方式。

  if ($result->num_rows > 0) {
      // 输出每行数据
      while($row = $result->fetch_assoc()) {
          echo "ID: " . $row["id"]. " - 姓名: " . $row["username"]. " - 邮箱: " . $row["email"]. "<br>";
      }
  } else {
      echo "0 结果";
  }

• PDO获取数据： 使用fetch(PDO::FETCH_ASSOC)可以实现与MySQLi的fetch_assoc()相同的效果。

  // 设置fetch模式为关联数组
  $result->setFetchMode(PDO::FETCH_ASSOC); 
  if ($result->rowCount() > 0) {
      // 输出每行数据
      while($row = $result->fetch()) {
          echo "ID: " . $row["id"]. " - 姓名: " . $row["username"]. " - 邮箱: " . $row["email"]. "<br>";
      }
  } else {
      echo "0 结果";
  }

完整示例：以HTML表格形式输出数据

直接echo数据虽然简单，但在实际应用中，我们通常会将数据嵌入到HTML结构中，例如表格，以获得更好的可读性和布局。

以下是一个使用MySQLi将用户数据输出到HTML表格的完整示例：

<?php
// ... (前面的连接代码) ...
$conn = new mysqli($servername, $username, $password, $dbname);
if ($conn->connect_error) {
    die("连接失败: " . $conn->connect_error);
}
$sql = "SELECT id, username, email, registration_date FROM users ORDER BY registration_date DESC";
$result = $conn->query($sql);
// 检查是否有数据
if ($result->num_rows > 0) {
    echo "<table border='1'>
            <tr>
                <th>ID</th>
                <th>用户名</th>
                <th>邮箱</th>
                <th>注册日期</th>
            </tr>";
    // 循环输出数据
    while($row = $result->fetch_assoc()) {
        echo "<tr>
                <td>" . $row["id"] . "</td>
                <td>" . htmlspecialchars($row["username"]) . "</td>
                <td>" . htmlspecialchars($row["email"]) . "</td>
                <td>" . $row["registration_date"] . "</td>
              </tr>";
    }
    echo "</table>";
} else {
    echo "没有找到任何用户。";
}
// 关闭连接
$conn->close();
?>

注意：这里使用了htmlspecialchars()函数来处理从数据库取出的数据，这是一个非常重要的安全习惯，可以防止跨站脚本（XSS）攻击。

最佳实践与安全考虑

在实际开发中,仅仅实现功能是不够的，代码的健壮性和安全性同样重要。

关闭数据库连接 当所有数据库操作完成后，应该显式地关闭连接以释放资源。

• MySQLi: $conn->close();
• PDO: $conn = null;

防止SQL注入 SQL注入是一种常见的安全漏洞，为了防止它，应始终使用预处理语句（Prepared Statements），预处理语句将SQL命令与用户数据分开，从根本上杜绝了注入风险。

• MySQLi预处理语句示例：

  $stmt = $conn->prepare("SELECT username, email FROM users WHERE id = ?");
  $stmt->bind_param("i", $userId); // "i" 表示参数为整数
  $userId = 1;
  $stmt->execute();
  $result = $stmt->get_result();
  // ... 获取数据 ...
  $stmt->close();

• PDO预处理语句示例：

  $stmt = $conn->prepare("SELECT username, email FROM users WHERE id = :id");
  $stmt->bindParam(':id', $userId, PDO::PARAM_INT);
  $userId = 1;
  $stmt->execute();
  $user = $stmt->fetch(PDO::FETCH_ASSOC);
  // ... 使用数据 ...

MySQLi与PDO的简单对比

为了帮助开发者做出选择,下表小编总结了两者的一些关键差异：

如果你的项目确定只使用MySQL数据库,MySQLi是一个不错的选择，但如果你希望代码具有更好的可移植性，或者未来可能切换数据库，强烈推荐使用PDO。

相关问答FAQs

问题1：我应该使用MySQLi还是PDO来连接数据库？

解答：这取决于你的项目需求。PDO通常是更推荐的选择，因为它提供了一个统一的数据访问接口，让你的应用可以轻松地在不同数据库系统（如MySQL, PostgreSQL, SQLite）之间切换，而无需重写大量的数据库操作代码，它的预处理语句API也更为简洁，如果你的项目非常确定只会使用MySQL数据库，并且你更熟悉其API，MySQLi也是一个完全可行且性能优异的选择，对于新项目，优先考虑PDO。

问题2：为什么在输出数据库数据时要使用htmlspecialchars()函数？

解答：使用htmlspecialchars()函数是一个至关重要的安全措施，旨在防止跨站脚本攻击（XSS），数据库中存储的数据可能包含恶意的JavaScript代码或其他HTML标签，如果直接将这些数据输出到HTML页面，浏览器可能会执行这些恶意代码，从而窃取用户信息、会话cookie或进行其他恶意操作。htmlspecialchars()函数会将特殊的HTML字符（如 <, >, &, , ）转换为其对应的HTML实体（如 <, >），这样浏览器就会将它们当作普通文本显示出来，而不是作为HTML代码解析，从而有效地阻止了XSS攻击。