PHP mysqli 預處理語句新增資料：防 SQL 注入的標準實作範例

⚠️ 原始代碼風險警示

原文直接拼接 $_POST 變數進 SQL 字串，極度危險，嚴禁用於生產環境。正確做法：**預處理語句 + 參數綁定**。

安全標準寫法 (mysqli 物件導向)

<?php
// db.php - 連線設定
$mysqli = new mysqli('localhost', 'username', 'password', 'databasename');
$mysqli->set_charset('utf8mb4');
mysqli_report(MYSQLI_REPORT_ERROR | MYSQLI_REPORT_STRICT); // 拋出例外

// insert_user.php
require 'db.php';

try {
    // 1. 準備 SQL，使用 ? 佔位符
    $sql = "INSERT INTO users (fname, lname, comments) VALUES (?, ?, ?)";
    $stmt = $mysqli->prepare($sql);

    // 2. 綁定參數：'sss' 表示三個字串
    $stmt->bind_param('sss', 
        $_POST['fname'] ?? '', 
        $_POST['lname'] ?? '', 
        $_POST['comments'] ?? ''
    );

    // 3. 執行
    $stmt->execute();

    echo "✅ 用戶資料新增成功，ID: {$mysqli->insert_id}";
    
    $stmt->close();
} catch (mysqli_sql_exception $e) {
    error_log("Insert Error: {$e->getMessage()}");
    echo "❌ 新增失敗，請稍後再試";
} finally {
    $mysqli->close();
}

參數類型對照表

批次新增 (效能優化)

<?php
$users = [
    ['John', 'Doe', 'Comment 1'],
    ['Jane', 'Smith', 'Comment 2'],
    ['Bob', 'Wilson', 'Comment 3'],
];

$sql = "INSERT INTO users (fname, lname, comments) VALUES (?, ?, ?)";
$stmt = $mysqli->prepare($sql);

$mysqli->begin_transaction();
foreach ($users as $u) {
    $stmt->bind_param('sss', $u[0], $u[1], $u[2]);
    $stmt->execute();
}
$mysqli->commit();
echo "批次新增 " . count($users) . " 筆完成";
$stmt->close();

PDO 版本 (同樣安全，支援命名參數)

<?php
$pdo = new PDO('mysql:host=localhost;dbname=databasename;charset=utf8mb4', 'username', 'password', [
    PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION,
]);

$sql = "INSERT INTO users (fname, lname, comments) VALUES (:fname, :lname, :comments)";
$stmt = $pdo->prepare($sql);
$stmt->execute([
    ':fname'    => $_POST['fname'] ?? '',
    ':lname'    => $_POST['lname'] ?? '',
    ':comments' => $_POST['comments'] ?? '',
]);
echo "新增成功，ID: {$pdo->lastInsertId()}";

1. 上一篇文章： PHP 精確測量函數執行時間：microtime() 高精度計時技巧
2. 下一篇文章： PHP 為每行文字加上前綴空白：白字元處理實用函數

PHP 相關知識

PHP 實現文本轉摩斯電碼音頻生成器：從編碼規則到 WAV 文件合成

PHP 實現文本轉摩斯電碼音頻生成器：從編碼規則到 WAV

PHP 連接 SQL Server 完整指南：從舊版 mssql 到現代 sqlsrv 驅動

PHP 連接 SQL Server 完整指南：從舊版 mss

Apache Rewrite 偽靜態配置完全指南：正則規則、修飾符與生產環境最佳實踐

啟用 mod_rewrite 模塊 # httpd.conf

X-Cart 學習筆記（一）：從認識到本地安裝部署全記錄

X-Cart 是一款功能強大的 PHP 開源電商系統，號稱「