能，但不推荐——PHP 无内置建库函数，需通过 mysqli 或 PDO 执行 CREATE DATABASE SQL 语句；存在权限、SQL 注入、重复创建、错误处理等风险，生产环境应由 DBA 或 CI/CD 初始化。
PHP 函数内能执行 CREATE DATABASE 吗？
能，但不推荐直接在函数里写——不是语法限制，而是权限、上下文和错误处理的现实问题。PHP 本身没有“建库函数”，所有数据库操作都依赖扩展（如 mysqli 或 PDO），而 CREATE DATABASE 是 SQL 语句，必须通过连接对象执行。
mysqli 函数内建库的典型写法与坑点
常见错误是把连接逻辑和建库逻辑混在同一个函数里，导致每次调用都新建连接、重复鉴权、忽略失败原因：
-
mysqli_connect()返回false时没检查，后续mysqli_query()直接报错 - 用 root 用户硬编码在函数里，上线后成安全漏洞
- 数据库名未过滤，可能触发 SQL 注入（哪怕只是建库，名字含反引号或分号也会出事）
- 没判断库是否已存在，重复执行会抛出
errno=1007错误
正确做法是分离连接与操作，且加基础防护：
function createDatabaseIfNotExists($host, $user, $pass, $dbname) {
$conn = mysqli_connect($host, $user, $pass);
if (!$conn) {
throw new Exception('连接失败: ' . mysqli_connect_error());
}
// 转义库名（仅允许字母数字下划线）
$safeName = preg_replace('/[^a-zA-Z0-9_]/', '', $dbname);
if (empty($safeName)) {
throw new Exception('非法数据库名');
}
$sql = "CREATE DATABASE IF NOT EXISTS `$safeName` CHARACTER SET utf8mb4 COLLATE utf8mb4_unicode_ci";
if (!mysqli_query($conn, $sql)) {
throw new Exception('建库失败: ' . mysqli_error($conn));
}
mysqli_close($conn);
}
PDO 方式更安全但要注意 DSN 特性
PDO 不支持在 DSN 中指定数据库名来建库（dbname=xxx 是用于连接已有库），所以仍需先连空库（MySQL 默认用 mysql:host=localhost），再执行 CREATE DATABASE。关键差异在于异常控制和字符集显式声明：
动态WEB网站中的PHP和MySQL：直观的QuickPro指南第2版
下载
动态WEB网站中的PHP和MySQL详细反映实际程序的需求，仔细地探讨外部数据的验证(例如信用卡卡号的格式)、用户登录以及如何使用模板建立网页的标准外观。动态WEB网站中的PHP和MySQL的内容不仅仅是这些。书中还提到如何串联JavaScript与PHP让用户操作时更快、更方便。还有正确处理用户输入错误的方法，让网站看起来更专业。另外还引入大量来自PEAR外挂函数库的强大功能，对常用的、强大的包
立即学习“PHP免费学习笔记（深入）”；
- 必须设置
PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION，否则exec()失败静默返回 -
PDO对库名不自动转义，仍需手动清洗，不能依赖quote()（它只对字符串值有效，不适用于标识符） - 建库后若要立刻操作该库，需重新
new PDO()并指定dbname，不能复用原连接
为什么生产环境几乎不用函数动态建库？
真正上线的系统极少在运行时建库——部署由 DBA 或 CI/CD 流水线统一初始化，应用层只负责连和用。函数内建库通常只出现在以下场景：
- 本地开发环境一键搭建测试库（配合
phpunit或behat） - SaaS 多租户系统中为新客户分配独立库（此时需严格配额、命名规则和审计日志）
- Docker 容器启动时的初始化脚本（但更常交给
entrypoint.sh而非 PHP）
最容易被忽略的是权限粒度：MySQL 用户必须有 CREATE 权限，但不应有 DROP 或 GRANT；很多开发者图省事给 ALL PRIVILEGES，埋下横向越权隐患。
