欢迎来到本次课程！今天我们将化身为数据魔法师，深入探索 PHP全栈开发 的核心奥秘。在这个数据为王的时代，掌握如何高效、安全地存储和管理信息，是每一位卓越开发者的必修课。

🎯 学习目标

为了让大家在未来的开发生涯中游刃有余，我们将结合生动有趣的案例，带你一步步构建一个功能完善的 学生信息管理系统。掌握基础数据库操作，并能运用预处理等各种技巧防御黑客攻击。请系好安全带，我们的代码航班即将起飞！

1. 探索数据宇宙的基石：MySQL数据库操作

认识与驾驭 MySQL

在 Web 应用开发领域，我们最常打交道的“仓库”就是 关系数据库管理系统。而其中最耀眼的明星莫过于体积小、速度快、完全开源的 MySQL。它可以被看作是一个超级智能的文件柜，专门用来分门别类地存放我们的各种数据。

在开始任何复杂操作之前，我们必须先掌握基础的 数据库操作 语法。以下是常用的几条基础指令：

• 使用 CREATE DATABASE database_name; 来创建一个全新的 数据库 实例。
• 使用 USE database_name; 来告诉系统我们当前要操作哪个特定的 工作空间。
• 使用 SHOW DATABASES; 来查看服务器上目前有哪些现存的 数据集合。
• 使用 DROP DATABASE database_name; 来抹除不需要的数据（请在生产环境中克制你随便删库跑路的冲动），此操作不可逆，务必提前做好 数据备份。

2. 搭建数据的房间：MySQL数据表操作

规划与构建数据表

如果我们把数据库比作一栋大楼，那么 数据表 就是大楼里一个个结构严谨的房间。在这个房间里，我们需要预先规划好每张桌子（列）用来放什么类型的文件（数据类型）。

在创建表时，我们需要使用 CREATE TABLE 语句，并为每个字段指定合适的 数据类型，比如表示整数的INT，或者表示字符串的VARCHAR。

🔍 数据库层级结构探索

点击下方层级，就像剥洋葱一样了解 MySQL 的存储结构！

🗄️数据库实例

→

📁数据库 (DB)

→

📊数据表 (Table)

→

📝字段与数据

Database: student_db

Database: shop_db

Database: blog_db

MySQL 实例 (Server)

相当于整个文件柜，运行在服务器上的一套数据库管理系统，可以包含多个不同的数据库。

SHOW DATABASES;

为了更清晰地展示它们的包含关系，请参考以下逻辑结构关系图：

除了创建，我们还需要学会如何审视和拆除这些 数据结构：

• 使用 SHOW TABLES; 可以列出当前数据库大楼里所有的 房间列表。
• 使用 DESCRIBE table_name; 能够查看某个特定房间的详细 结构布局。
• 使用 ALTER TABLE 可以对已经建好的结构进行 动态修改，比如增加一列新字段。
• 使用 TRUNCATE TABLE 可以光速清空房间内的所有内容，它比常规的删除操作速度更快，但请记住它是无法撤销的 高危操作。

3. 施展数据魔法：增删改查核心指令

传说中的 CRUD 操作

无论是多么复杂的系统，其底层的数据流转本质上都逃不开四种基本动作：增加（Create）、读取（Read）、更新（Update）和删除（Delete），在江湖上我们简称为 CRUD操作。

• 向数据表中注入新灵魂，我们需要使用 INSERT INTO 语句。通过指定列名和对应的值，我们可以将一条条鲜活的 数据记录 永久保存下来。
• 查询数据是日常最频繁的动作。通过 SELECT * FROM table_name; 我们可以纵览全局，但如果你只想寻找特定的信息，就必须搭配条件语句来实现 精准定位。

⚠️ 删库跑路警告

在执行 UPDATE（更新）或 DELETE（删除）操作时，永远、永远、永远不要忘记带上 WHERE 关键词来限制 作用范围！否则你将会把整个表的数据全部改写或盲目清空。

4. 搭建跨界桥梁：PHP的数据库扩展模块

为什么选择 MySQLi 扩展

PHP和MySQL原本是两个独立的个体，为了让它们能够流畅对话，我们需要引入一位“翻译官”，也就是 PHP扩展模块。历史上曾经有旧版的MySQL扩展，但因为它年老体衰已经被时代淘汰了。

现在我们主推的是 MySQLi扩展 （那个“i”代表improved，也就是增强版）。它不仅支持面向过程的写法，还完美兼容面向对象编程，性能表现十分卓越。如果我们用一个简单的数学公式来表达它的价值，那大概是：

$\text{系统健壮性} = \frac{\text{MySQLi的高效连接}}{\text{查询延迟}} \times \text{安全处理机制}$

使用 mysqli_connect() 函数，我们只需提供服务器地址、用户名、密码和数据库名，就能建立起一座坚固的 通信桥梁。为了方便后续维护，我们通常会将这段连接代码单独封装保存在一个 connect.php 文件中。

5. 指挥官的传令官：执行SQL与处理结果集

发送指令与接收战利品

桥梁搭建好之后，PHP就可以通过 mysqli_query() 函数向MySQL发送各种 SQL语句 了。这就好比我们在餐厅点菜，把菜单递给服务员后，就需要等待后厨把做好的菜肴端上来。

对于查询类的操作，MySQL返回的不是简单的是与否，而是一个庞大的 结果集。为了能够一口一口地把这些数据“吃”掉，我们需要借助一些辅助函数。

🌐 PHP 与 MySQL 的通信桥梁

点击按钮，模拟 PHP 中执行 mysqli_query 后获取结果集的完整生命周期。

🐘 PHP

$conn = mysqli_connect($host, $user, $pass, $db); // 建立通信线

🐬 MySQL

💡 辅助函数指南

• 利用 mysqli_num_rows() 可以快速统计出本次查询到底匹配到了多少条 数据行数。
• 利用 mysqli_fetch_assoc() 可以将结果集中的一行数据转换成易于理解的 关联数组，键名就是我们定义的字段名。
• 当所有的结果处理完毕后，作为一个讲究的程序员，应该使用 mysqli_free_result() 来释放内存，并用 mysqli_close() 切断 数据库连接，节约服务器资源。

6. 守护数据的护城河：预处理与防范SQL注入

抵御黑客的终极武器

在真实的互联网环境中，永远不要相信用户的输入。如果直接将用户提交的数据拼接到SQL语句中，就会引发臭名昭著的 SQL注入攻击。黑客可以通过巧妙构造的字符串，欺骗数据库执行恶意破坏指令。

为了根绝这个隐患，我们必须学会使用 预处理语句 (Prepared Statements)。它的工作原理是将“SQL逻辑模板”与“用户输入的数据”完全隔离开来。

🛡️ SQL 注入与预处理攻防战

试着在用户名字段输入恶意代码 admin' -- ，观察传统拼接与预处理的区别。(密码可以留空)

🔓 传统模式：SQL直接拼接 (危险)

用户名：

密 码：

服务器实际执行的SQL命令：

SELECT * FROM users WHERE username = '' AND password = ''

✅

正常的查询执行中...

🔒 现代模式：预处理机制 (安全)

1. 准备骨架 (占位符) SELECT * FROM users WHERE username = ? AND password = ?

2. 数据作为纯文本捆绑进入占位符 (不会干扰语法)

? ⟸ (空)

服务器收到的逻辑结构与数据：

逻辑: SELECT * FROM users WHERE username = ? AND password = ?
参数1:
参数2:

具体的操作流程如下：

1. 首先通过 mysqli_prepare() 准备好带有问号占位符的模板；
2. 然后使用 mysqli_stmt_bind_param() 将真实变量绑定到占位符上；
3. 最后通过 mysqli_stmt_execute() 安全地执行这套 编译逻辑。

这不仅提升了安全性，还能因为模板复用而加快查询速度。

7. 综合实战演练：学生信息管理系统核心开发

从理论走向全栈项目实践

[!TIP] 动手时间 纸上得来终觉浅，绝知此事要躬行。现在我们将前面六大模块的知识融会贯通，亲自编写一个包含用户注册与登录的 核心业务逻辑 模块。

首先，我们需要在数据库中准备好存放信息的表。然后，编写一个通用的 连接脚本。

// connect.php - 负责与数据库建立底层连接
$host = 'localhost';
$user = 'root';
$password = '123456';
$db = 'student_db';

// 创建 MySQLi 对象实例
$conn = mysqli_connect($host, $user, $password, $db);
if (!$conn) {
    die("服务器连接故障: " . mysqli_connect_error());
}

接下来是处理用户注册的后端代码，这里我们将严格应用 预处理机制 来保障系统的绝对安全。

// register_process.php - 处理表单提交的注册信息
include 'connect.php';

// 假设这些数据来自 $_POST 接收到的表单数据
$username = $_POST['username']; 
$password = $_POST['password'];

// 1. 准备带有占位符的 SQL 语句模板
$sql = "INSERT INTO students (username, password) VALUES (?, ?)";

// 2. 初始化预处理语句
if ($stmt = mysqli_prepare($conn, $sql)) {
    // 3. 绑定参数，'ss'代表两个参数均为字符串类型
    mysqli_stmt_bind_param($stmt, "ss", $username, $password);
  
    // 4. 执行操作并验证结果
    if (mysqli_stmt_execute($stmt)) {
        echo "恭喜，学生账号注册成功！";
    } else {
        echo "注册异常：" . $stmt->error;
    }
    // 5. 关闭语句对象
    mysqli_stmt_close($stmt);
}
// 关闭全局连接
mysqli_close($conn);

通过将前端表单与后端的增删改查操作结合，你就能顺利实现一个能够动态管理数据的 信息系统，真正推开 Web 全栈开发的大门。

8. 课程知识点总结

核心知识模块	关键技术点 / 常用函数	核心目标与实际应用场景
MySQL基本操作	CREATE DATABASE, DROP	掌控数据存储环境，实现基础库层面的搭建与销毁。
数据表工程	CREATE TABLE, ALTER TABLE	定义数据结构边界，为具体业务逻辑打造定制化的存储模型。
CRUD数据流转	INSERT, SELECT, UPDATE	操控应用核心数据，实现业务系统最基础的信息交互需求。
PHP通信桥梁	mysqli_connect()	建立语言与数据库间的网络通道，打通前后端数据流。
指令与结果集	mysqli_query(), fetch_assoc	下达指令并解析反馈数据，将其转化为PHP可读取的数组结构。
安全防御机制	mysqli_prepare(), 绑定参数	隔离逻辑与数据输入，从根本上阻绝SQL注入等恶意攻击手段。

9. 后续进阶建议

在完成了今天的学生管理系统核心模块之后，不妨思考以下两个问题，这将有助于你向更高级的 软件架构师 迈进：

1. 亿级数据挑战：当学生数据量达到一百万条时，传统的 SELECT * 查询会变得非常缓慢，你可以查阅哪些关于“MySQL索引优化”的资料来解决这个问题？
2. 密码学防线：在当前的代码中，用户的密码是明文保存在数据库中的，这存在极大的隐私泄漏风险。你能否自学 PHP 中的 password_hash() 和 password_verify() 函数，尝试为你的注册和登录系统加上数据加密保护？

贡献者: Gabrlie

上一页第 8 课：面向对象编程