1. 基础概念与环境准备
PHP 与 MySQL 的插入操作是后台应用中最常见的数据库交互之一，直接影响数据持久化的正确性与性能。在实际项目中，优先采用参数化查询可以有效防止SQL注入，并提升代码的可维护性。
PDO与mysqli是两种主流的数据库连接方式，各自有着不同的API风格与特性。选择时应关注跨数据库兼容性、错误处理方式与绑定参数的灵活性。
在正式编写插入逻辑前，了解一个标准的表结构有助于设计合理的字段绑定方案。典型的场景包括：用户注册信息、商品列表或 日志记录等数据表的基本插入操作。
2. 使用 mysqli 进行安全插入
mysqli提供了面向过程和面向对象两种风格的接口，使用预处理语句可显著降低注入风险并提升性能。
下面的示例展示了使用mysqli的准备语句进行安全插入的最小流程：连接数据库、准备语句、绑定参数、执行以及清理资源。
set_charset("utf8mb4");
$sql = "INSERT INTO users (name, email, age) VALUES (?, ?, ?)";
$stmt = mysqli_prepare($mysqli, $sql);
if (!$stmt) {
die("准备语句失败: " . mysqli_error($mysqli));
}
mysqli_stmt_bind_param($stmt, "ssi", $name, $email, $age);
$name = "李四";
$email = "lisi@example.com";
$age = 29;
if (mysqli_stmt_execute($stmt)) {
echo "新记录的自增ID为: " . mysqli_stmt_insert_id($stmt);
} else {
echo "插入失败: " . mysqli_stmt_error($stmt);
}
mysqli_stmt_close($stmt);
mysqli_close($mysqli);
?> 该示例的要点在于：使用占位符替代直接拼接 SQL、绑定参数以确保类型安全与数据正确性，并通过错误信息定位问题。
3. 使用 PDO 进行安全插入
在需要跨数据库或追求更一致错误处理的场景中，PDO是更优的选择。PDO 的异常捕获机制使错误处理更加集中、可控。
下面的示例展示了如何通过PDO的预处理语句与命名占位符进行安全插入，以及如何开启异常模式以便进行统一错误处理。
PDO::ERRMODE_EXCEPTION,
PDO::ATTR_DEFAULT_FETCH_MODE => PDO::FETCH_ASSOC
];
$pdo = new PDO($dsn, $user, $pass, $options);
$sql = "INSERT INTO users (name, email, age) VALUES (:name, :email, :age)";
$stmt = $pdo->prepare($sql);
// 命名占位符绑定
$name = "张五";
$email = "zhangwu@example.com";
$age = 32;
$stmt->bindParam(':name', $name);
$stmt->bindParam(':email', $email);
$stmt->bindParam(':age', $age);
try {
$stmt->execute();
echo "插入成功，ID：".$pdo->lastInsertId();
} catch (PDOException $e) {
echo "插入错误: ".$e->getMessage();
}
?> 通过异常模式，一旦发生错误就会抛出PDOException，可以在上层统一处理，并避免隐藏的错误。
4. 批量插入与性能优化
在需要插入大量记录时，单条执行虽然直观，但会带来大量网络往返与数据库开销。此时可考虑两种策略来提升性能：事务批量插入和 单条多值插入。
第一种策略是在一个事务中多次执行预处理语句，以降低提交次数与锁开销；第二种策略是将多行数据合并为一个多值 INSERT语句，一次写入多行记录。两者在不同场景下各有优劣。
setAttribute(PDO::ATTR_AUTOCOMMIT, false);
$sql = "INSERT INTO users (name, email, age) VALUES (:name, :email, :age)";
$stmt = $pdo->prepare($sql);
$rows = [
['name'=>'溢涛', 'email'=>'yitao@example.com', 'age'=>26],
['name'=>'慧敏', 'email'=>'huimin@example.com', 'age'=>31],
['name'=>'俊豪', 'email'=>'jinhao@example.com', 'age'=>24],
];
try {
$pdo->beginTransaction();
foreach ($rows as $row) {
$stmt->execute([':name'=>$row['name'], ':email'=>$row['email'], ':age'=>$row['age']]);
}
$pdo->commit();
echo "批量插入完成，共插入 ".count($rows)." 条记录";
} catch (PDOException $e) {
$pdo->rollBack();
echo "批量插入失败，已回滚: ".$e->getMessage();
}
?> 另一种常见做法是构造一个包含多行值的单条 INSERT语句，减少数据库端解析开销；但需谨慎处理文本字段中的引号与转义，推荐仍以参数化为主以确保安全。以下示例演示了将多行数据合并到一个 INSERT 语句的基本思路（注意使用参数化替代直接拼接以保障安全）：
'安娜', 'email'=>'anna@example.com', 'age'=>28],
['name'=>'布莱恩', 'email'=>'brian@example.com', 'age'=>35]
];
// 拼接时应使用参数化占位符，避免直接拼接字符串
$placeholders = [];
$params = [];
foreach ($rows as $idx => $row) {
$placeholders[] = "(?, ?, ?)";
$params[] = $row['name'];
$params[] = $row['email'];
$params[] = $row['age'];
}
$sql = "INSERT INTO users (name, email, age) VALUES ".implode(', ', $placeholders);
$pdo->prepare($sql);
$stmt = $pdo->prepare($sql);
$pdo->beginTransaction();
$stmt->execute($params);
$pdo->commit();
?> 5. 错误处理与回滚
在实际生产环境中，健壮的错误处理与回滚机制是保证数据一致性的关键。PDO提供了统一的异常处理机制，可以通过 try/catch 捕获异常并在需要时执行 回滚。
通过在事务中执行插入并捕获异常，可以确保任意一步失败都会回滚至操作前的状态，避免部分数据写入造成的数据不一致。
PDO::ERRMODE_EXCEPTION
]);
try {
$pdo->beginTransaction();
$pdo->exec("SET NAMES utf8mb4");
$stmt = $pdo->prepare("INSERT INTO users (name, email, age) VALUES (:name, :email, :age)");
$stmt->execute([':name'=>'赵六', ':email'=>'zhaoliu@example.com', ':age'=>40]);
// 可能的后续插入操作...
$pdo->commit();
echo "事务提交成功";
} catch (PDOException $e) {
$pdo->rollBack();
echo "事务执行失败，已回滚: ".$e->getMessage();
}
?> 6. 实战完整代码示例
以下为一个端到端的实战完整代码示例，演示如何在一个简单的注册场景中，使用 PDO、事务、以及准备语句完成数据的安全插入。示例包含：连接库、输入校验、参数化插入、批量插入与错误处理，便于直接在开发环境中测试与学习。
PDO::ERRMODE_EXCEPTION,
PDO::ATTR_DEFAULT_FETCH_MODE => PDO::FETCH_ASSOC
];
try {
$pdo = new PDO($dsn, $user, $pass, $options);
// 单条插入示例
$pdo->beginTransaction();
$stmt = $pdo->prepare("INSERT INTO users (name, email, age) VALUES (:name, :email, :age)");
$stmt->execute([':name'=>'王强', ':email'=>'wangqiang@example.com', ':age'=>27]);
$singleId = $pdo->lastInsertId();
$pdo->commit();
// 批量插入示例
$rows = [
['name'=>'陈娜', 'email'=>'chenna@example.com', 'age'=>22],
['name'=>'周杰', 'email'=>'zhoujie@example.com', 'age'=>33],
['name'=>'孙越', 'email'=>'sunyue@example.com', 'age'=>29],
];
$stmt = $pdo->prepare("INSERT INTO users (name, email, age) VALUES (:name, :email, :age)");
$pdo->beginTransaction();
foreach ($rows as $r) {
$stmt->execute([':name'=>$r['name'], ':email'=>$r['email'], ':age'=>$r['age']]);
}
$pdo->commit();
echo "单条插入ID: ".$singleId."，批量插入完成共计: ".count($rows)." 条记录";
} catch (PDOException $e) {
// 回滚以确保数据一致性
if ($pdo->inTransaction()) {
$pdo->rollBack();
}
echo "发生错误: ".$e->getMessage();
}
?> 