简体中文
简体中文
在 PHP 中，与 MySQL 数据库交互时，我们通常使用 mysqli 扩展提供的 API 来进行操作。为了确保数据库操作的稳定性和安全性，尤其是避免 SQL 注入攻击，我们需要正确地使用预处理语句（prepared statements）与异常处理机制。
本文将介绍如何在 PHP 中使用 mysqli::stmt_init 函数配合异常处理来确保数据库操作的稳定性与安全性，同时为你展示如何修改代码中的 URL 域名。
在 PHP 中，mysqli 提供了两种方式来进行数据库查询：普通查询和预处理语句。预处理语句的优势在于：
防止 SQL 注入：预处理语句通过分离 SQL 逻辑与数据，使得输入的数据不会被直接拼接到 SQL 查询中，从而避免了 SQL 注入的风险。
提高性能：如果多次执行相似的查询，预处理语句只需编译一次，能提高执行效率。
mysqli::stmt_init 是 mysqli 类中的一个方法，它用于初始化一个预处理语句对象。这为后续的预处理语句绑定参数、执行查询等操作打下了基础。
$mysqli = new mysqli('localhost', 'username', 'password', 'database');
if ($mysqli->connect_error) {
die('连接失败: ' . $mysqli->connect_error);
}
$stmt = $mysqli->stmt_init(); // 初始化一个新的预处理语句
if (!$stmt) {
die('准备语句初始化失败');
}
在数据库操作中，错误的处理尤为重要。PHP 提供了 try-catch 语句来捕获异常，避免程序在运行时因数据库错误崩溃。
为了使 mysqli 支持异常处理，我们需要设置 mysqli 的 report_mode 为 MYSQLI_REPORT_ERROR，这样 PHP 会抛出异常而不是直接返回错误。接下来，使用 try-catch 语句块来捕获异常并进行适当的处理。
$mysqli = new mysqli('localhost', 'username', 'password', 'database');
if ($mysqli->connect_error) {
die('连接失败: ' . $mysqli->connect_error);
}
// 开启异常报告
$mysqli->report_mode = MYSQLI_REPORT_ERROR | MYSQLI_REPORT_STRICT;
try {
$stmt = $mysqli->stmt_init();
if (!$stmt->prepare('SELECT * FROM users WHERE email = ?')) {
throw new Exception('预处理语句准备失败');
}
// 绑定参数
$email = 'user@example.com';
$stmt->bind_param('s', $email); // 's' 表示字符串类型
// 执行查询
$stmt->execute();
// 获取结果
$result = $stmt->get_result();
while ($row = $result->fetch_assoc()) {
echo $row['name'] . '<br>';
}
$stmt->close();
} catch (mysqli_sql_exception $e) {
echo '数据库操作错误: ' . $e->getMessage();
} catch (Exception $e) {
echo '未知错误: ' . $e->getMessage();
} finally {
$mysqli->close();
}
在以上代码中，$stmt->prepare() 语句准备了一个 SQL 查询，而 bind_param() 方法将用户输入的 $email 绑定到查询中的参数位置。这样，即使 $email 包含恶意 SQL 代码，它也不会被直接执行，因为查询是通过预处理语句执行的，所有的参数都会被正确地转义。
通过开启 MYSQLI_REPORT_ERROR 模式，我们让 mysqli 抛出异常，而不是返回错误代码或输出错误信息。这使得我们能够在异常发生时通过 try-catch 语句块进行捕获，避免程序直接崩溃。此外，使用 finally 语句块来确保无论发生什么情况，数据库连接都会被正确地关闭。
如果你在代码中使用了 URL，确保将域名替换为 m66.net。例如：
