使用PDO预处理语句可安全高效插入数据。首先建立数据库连接，推荐使用PDO或MySQLi；接着通过prepare()构建带占位符的SQL语句，使用execute()绑定参数执行，避免SQL注入；建议采用命名占位符提升代码可读性；同时需验证输入、设置正确字符集、检查插入行数以确保操作成功。
PHP将数据插入MySQL数据库是Web开发中的基础操作。实现这一过程主要涉及数据库连接、SQL语句构建和安全性处理。下面介绍如何安全、高效地完成数据入库。
建立数据库连接
在执行插入操作前，需使用PHP连接MySQL数据库。推荐使用PDO或MySQLi扩展，它们支持面向对象和预处理语句，更安全灵活。
示例（使用PDO）：
$host = 'localhost';
$dbname = 'test_db';
$username = 'root';
$password = '';
try {
$pdo = new PDO("mysql:host=$host;dbname=$dbname", $username, $password);
$pdo->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);
} catch (PDOException $e) {
die("连接失败：" . $e->getMessage());
}
构建安全的插入语句
直接拼接SQL字符串容易引发SQL注入攻击。应使用预处理语句（Prepared Statements）来绑定参数，确保数据安全。
示例：插入用户信息
$stmt = $pdo->prepare("INSERT INTO users (name, email, age) VALUES (?, ?, ?)");
$name = '张三';
$email = 'zhangsan@example.com';
$age = 25;
// 执行插入
$stmt->execute([$name, $email, $age]);
echo "数据插入成功，ID：" . $pdo->lastInsertId();
使用命名参数提升可读性
当字段较多时，使用命名占位符能让代码更清晰，减少出错概率。
立即学习“PHP免费学习笔记（深入）”；
$stmt = $pdo->prepare("INSERT INTO users (name, email, age) VALUES (:name, :email, :age)");
$stmt->bindParam(':name', $name);
$stmt->bindParam(':email', $email);
$stmt->bindParam(':age', $age);
$stmt->execute();
处理常见问题与优化建议
实际开发中还需注意以下几点：
- 确保表单数据已过滤或验证，可使用filter_var()函数校验邮箱、整数等类型
- 对用户输入进行转义不是最佳做法，优先使用预处理语句
- 插入大量数据时，可考虑批量插入以提高性能
- 设置合适的字符集（如utf8mb4），避免中文乱码
- 插入后检查受影响行数（$stmt->rowCount()）确认是否成功
基本上就这些。只要掌握PDO或MySQLi的基本用法，并坚持使用预处理语句，PHP写入MySQL数据并不复杂，但容易忽略安全细节。养成良好编码习惯，能有效防止常见漏洞。
