最简可靠写法是使用 mysqli::prepare() 和 bind_param() 进行参数化查询：先创建连接并检查错误，再预处理语句、绑定字符串参数、执行并获取 insert_id，最后关闭资源。
PHP 用 mysqli 插入单条记录最简可靠写法
直接上能跑通、防 SQL 注入、带错误提示的最小完整代码，不是伪代码，也不是 PDO 示例——你复制粘贴就能在 PHP 7.4+ 环境里执行。
<?php
$host = 'localhost';
$username = 'root';
$password = '';
$database = 'test_db';
<p>$conn = new mysqli($host, $username, $password, $database);</p><p>if ($conn->connect_error) {
die('连接失败: ' . $conn->connect_error);
}</p><p>$name = '张三';
$email = 'zhangsan@example.com';</p><p>$stmt = $conn->prepare('INSERT INTO users (name, email) VALUES (?, ?)');
$stmt->bind_param('ss', $name, $email);</p><p>if ($stmt->execute()) {
echo '新增成功，ID：' . $conn->insert_id;
} else {
echo '插入失败：' . $stmt->error;
}</p><p>$stmt->close();
$conn->close();
?>-
mysqli::prepare()和bind_param()是必须的，不拼接字符串，否则就是裸奔式 SQL 注入 -
'ss'表示两个参数都是字符串；如果插入的是整数（比如age），要改成'si'（s=string, i=integer） -
$conn->insert_id才是刚插入那条记录的真实自增 ID，别用mysql_insert_id()（已废弃）或自己 SELECT LAST_INSERT_ID() - 表名
users和字段名name/email要和你实际数据库一致，大小写敏感（尤其在 Linux 环境）
为什么不用 mysql_query() 拼接 SQL 字符串
这种写法看着短，但只要用户输入带单引号或 SQL 关键字，立刻崩：
<?php
// ❌ 千万别这么写
$name = $_POST['name']; // 假设传入：'张三'; DROP TABLE users; --
$sql = "INSERT INTO users (name) VALUES ('$name')";
mysqli_query($conn, $sql); // 直接执行恶意语句
?>- 哪怕加了
mysqli_real_escape_string()，也挡不住多字节编码绕过、宽字节注入等边界情况 - prepare + bind_param 是 MySQL 官方推荐的参数化查询路径，语义清晰、驱动层校验、类型安全
- PHP 8.1+ 已彻底移除
mysql_*函数族，连mysql_connect()都不存在了
插入失败常见报错及对应检查点
运行时看到类似下面的提示？别急着改代码，先看这些地方：
立即学习“PHP免费学习笔记（深入）”；
-
Call to a member function prepare() on bool→$conn创建失败，检查数据库地址、账号密码、库名是否拼错，或 MySQL 服务没起来 -
Unknown column 'xxx' in 'field list'→INSERT INTO users (xxx)里的字段名不存在，用DESCRIBE users查下真实字段名 -
Data too long for column→ 字段定义长度不够，比如VARCHAR(10)却插了 15 个字符，改表或截断数据 -
Field 'xxx' doesn't have a default value→ 某字段不允许 NULL 又没给值，要么 INSERT 里补上，要么 ALTER TABLE 设默认值或允许 NULL
如果必须用 PDO，该怎么写才不出错
不是所有项目都能用 mysqli，有些框架强制 PDO。注意三个关键点：
- DSN 里加上
;charset=utf8mb4，否则中文存成乱码或报错 - 设置
PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION，不然错误静默失败 - 占位符统一用
:name命名风格，别混用?位置占位符和命名占位符
<?php
try {
$pdo = new PDO('mysql:host=localhost;dbname=test_db;charset=utf8mb4', 'root', '');
$pdo->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);
<pre class='brush:php;toolbar:false;'>$stmt = $pdo->prepare('INSERT INTO users (name, email) VALUES (:name, :email)');
$stmt->execute([':name' => '李四', ':email' => 'lisi@example.com']);
echo '新增成功，ID：' . $pdo->lastInsertId();} catch (PDOException $e) { echo '错误：' . $e->getMessage(); } ?>
实际部署时，$pdo 连接应复用（比如封装成单例或依赖注入），而不是每次插入都 new 一次。字段多、逻辑复杂时，建议把 INSERT 封装进函数，但 prepare/execute 这两步不能省。
