你需要的是Transaction吧
网站建设哪家好，找创新互联！专注于网页设计、网站建设、微信开发、微信小程序开发、集团企业网站建设等服务项目。为回馈新老客户创新互联还提供了寿县免费建站欢迎大家使用！
START TRANSACTION
SELECT ******
UPDATE ******
UPDATE ******
COMMIT
PHP 使用 Mysqli 的 prepare 语句有什么好处
好处：
（1）解析查询只有一次
（2）执行一些查询优化步骤只有一次
（3）通过二进制协议发送参数比送他们为ASCII文本更有效
比如DATE，对于准备之后，发送日期只用3个字节;如果没有准备，日期必须以字符串的形式发送，需要数据库方再解析，这样需要发送10个字节。
（4）只有参数（不是整个查询文本）需要为每个执行要发送
（5）的MySQL直接存储parameteres到服务器上的缓冲区
（6）安全性也有帮助，就没有必要逃避或引用值。
坏处：
（1）本地到一个连接，以便另一个连接不能再使用
（2）不能使用MySQL查询缓存（5.1版本之前）
（3）不总是更有效，如果你使用它只有一次
（4）存储函数中不能使用（存储过程是可以的）
（5）有可能会导致“泄漏”如果你忘记释放它
1：可以在自己在文本里面写好相关的建表语句，然后用phpmyadmin之类的工具导入到你的数据库，然后在通过程序连接数据库，插入，修改，删除，查询。一般开发流程都是在程序开发之前就需要规划数据表的结构的。（个人和企业自身用这样就可以了）
2：就像你说的那样创建一个文件专门用来创建数据库和表，也就是程序的安装模块，当然也是需要在文本中写相关的sql语句的，之后通过程序导入到数据库去，创建好了之后可以把他删除。（这种一般给别人开发的时候用，像那些开源的cms都是这样的）
$sql
=
$mysqli-query("call
pro_login1('".$username."',
'".$password."')");
#这句假设是执行SQL，那么这句话的意思是，调用query函数，执行
存储过程pro_login1(存储过程类似程序中的函数
$info
=
$sql-fetch_array(MYSQLI_ASSOC);
#如果$sql
变量实例的类和$mysqli实例化的类是同一个的话，这里是把刚刚query执行返回的参数转换成数组。MYSQLI_ASSOC是mysqli_query的一个参数，具体你可以看看手册
1
if(isset($_POST['username'])
trim($_POST['username'])!='')
2
{
3
require_once
'Db.php';
4
$username
=
trim($_POST['username']);
5
$password
=
trim($_POST['password']);
6
$sql
=
$mysqli-query("call
pro_login1('".$username."',
'".$password."')");
7
$info
=
$sql-fetch_array(MYSQLI_ASSOC);
8
if($info
!=
null){
9
$_SESSION['loginUsername']
=
$username;
10
echo
'scriptwindow.location.href="success.php";/script';
11
}else
{
12
echo
'div
style="width:300px;
height:30px;
line-height:30px;
border:1px
solid
#E59B04;
background-color:#FCF2E0;
color:#FF0000;"用户名或密码输入有误/div';
13
}
14
}
第一行先判断传如的用户名是否存在并且密码不能带有空格
第三行引用的db.php，应该是连接数据库的配置文件
第四、五行是把用户名和密码的中的空格去掉
第六行把用户名和密码传入到存储过程中执行
第七行返回一个数组
第八至十三行，判断这个数组不是空，如果不是，就给一个session作为登录标识，跳转到另外一个页面;否则就是提示用户密码错误。
------------------------------
不懂就追问把。
?php
/* 连接数据库类 MysqlConnect */
class MysqlConnect{
private $dbhost=null;
private $dbuser=null;
private $dbpwd=null;
private $dbname=null;
private $dbport=null;
private $ifpdo=null;
private $dburi=null;
private $handler=null;
function __construct($dbhost,$dbuser,$dbpwd,$dbname,$dbport,$ifpdo,$dburi){
$this-dbhost=$dbhost;
$this-dbuser=$dbuser;
$this-dbpwd=$dbpwd;
$this-dbname=$dbname;
$this-dbport=$dbport;
$this-ifpdo=$ifpdo;
$this-dburi=$dburi;//PDO的URI参数，可以查手册
if($this-ifpdo==1){//表示调用PDO来操作数据库
$this-handler=$this-CreatePdo();
}elseif($this-ifpdo==0){//这里可以写MYSQLI的方法
$this-handler=null;
}
}
/* ----------------这里是入口--------------------- */
//@param sql:外部调用时传递的完整SQL语句
//@param bindArray:绑定的参数数组，与sql语句有关，如果没有PDO占位符此处为空
//@param action:传递操作参数，"select"/"update"/"delete"/"insert"
public function exeSql($sql,$bindArray=array(),$action=""){
$stmt=$this-handler-prepare($sql);
$stmt-execute($bindArray);
switch($action){
case "select":
return $stmt-fetch(PDO::FETCH_ASSOC);
break;
case "selectAll":
return $stmt-fetchAll(PDO::FETCH_ASSOC);
break;
case "update":
case "delete":
return $stmt-rowCount();
break;
case "insert":
return $this-handler-lastInsertId();
break;
case "count":
return $stmt-rowCount();
default:
return "";
}
}
public function query($sql){
return $this-handler-query($sql);
}
private function CreatePdo(){
try{
$handler=new PDO($this-dburi,$this-dbuser,$this-dbpwd);
$handler-setAttribute(PDO::ATTR_ERRMODE,PDO::ERRMODE_EXCEPTION);
return $handler;
}catch(PDOException $e){
$e-getMessage();
$this-handler=null;
}
}
private function __get($args){
if($args=='handler'){
return $this-handler;
}
}
}
require(NEO_A_P.'\data\sqlconfig.php');//这里是sql的连接文件,下面创建对象的时候需要的变量就是这个文件里要有的
$handler=new MysqlConnect($dbhost,$dbuser,$dbpwd,$dbname,$dbport,$ifpdo,$dburi);
?
PHP MySQL 预处理语句
预处理语句对于防止 MySQL 注入是非常有用的。
预处理语句及绑定参数
预处理语句用于执行多个相同的 SQL 语句，并且执行效率更高。
预处理语句的工作原理如下：
预处理：创建 SQL 语句模板并发送到数据库。预留的值使用参数 "?" 标记 。例如：
INSERT
INTO MyGuests (firstname, lastname, email) VALUES(?, ?, ?)
数据库解析，编译，对SQL语句模板执行查询优化，并存储结果不输出。
执行：最后，将应用绑定的值传递给参数（"?" 标记），数据库执行语句。应用可以多次执行语句，如果参数的值不一样。
相比于直接执行SQL语句，预处理语句有两个主要优点：
预处理语句大大减少了分析时间，只做了一次查询（虽然语句多次执行）。
绑定参数减少了服务器带宽，你只需要发送查询的参数，而不是整个语句。
预处理语句针对SQL注入是非常有用的，因为参数值发送后使用不同的协议，保证了数据的合法性。
MySQLi 预处理语句
以下实例在 MySQLi 中使用了预处理语句，并绑定了相应的参数:
实例 (MySQLi 使用预处理语句)
?php
$servername = "localhost";
$username = "username";
$password = "password";
$dbname = "myDB";
// 创建连接
$conn = new mysqli($servername, $username, $password, $dbname);
// 检测连接
if ($conn-connect_error) {
die("连接失败: " . $conn-connect_error);
}
// 预处理及绑定
$stmt = $conn-prepare("INSERT INTO MyGuests (firstname, lastname, email) VALUES(?, ?, ?)");
$stmt-bind_param("sss", $firstname, $lastname, $email);
// 设置参数并执行
$firstname = "John";
$lastname = "Doe";
$email = "john@example.com";
$stmt-execute();
$firstname = "Mary";
$lastname = "Moe";
$email = "mary@example.com";
$stmt-execute();
$firstname = "Julie";
$lastname = "Dooley";
$email = "julie@example.com";
$stmt-execute();
echo "新记录插入成功";
$stmt-close();
$conn-close();
?
解析以下实例的每行代码:
"INSERT INTO MyGuests (firstname, lastname, email) VALUES(?, ?, ?)"
在 SQL 语句中，我们使用了问号 (?)，在此我们可以将问号替换为整型，字符串，双精度浮点型和布尔值。
接下来，让我们来看下 bind_param() 函数：
$stmt-bind_param("sss", $firstname, $lastname, $email);
该函数绑定了 SQL 的参数，且告诉数据库参数的值。 "sss" 参数列处理其余参数的数据类型。s 字符告诉数据库该参数为字符串。
参数有以下四种类型:
i - integer（整型）
d - double（双精度浮点型）
s - string（字符串）
b - BLOB（binary large object:二进制大对象）
每个参数都需要指定类型。
通过告诉数据库参数的数据类型，可以降低 SQL 注入的风险。
注意： 如果你想插入其他数据（用户输入），对数据的验证是非常重要的。
PDO 中的预处理语句
以下实例我们在 PDO 中使用了预处理语句并绑定参数:
实例 (PDO 使用预处理语句)
?php
$servername = "localhost";
$username = "username";
$password = "password";
$dbname = "myDBPDO";
try {
$conn = new PDO("mysql:host=$servername;dbname=$dbname", $username, $password);
// 设置 PDO 错误模式为异常
$conn-setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);
// 预处理 SQL 并绑定参数
$stmt = $conn-prepare("INSERT INTO MyGuests (firstname, lastname, email)
VALUES (:firstname, :lastname, :email)");
$stmt-bindParam(':firstname', $firstname);
$stmt-bindParam(':lastname', $lastname);
$stmt-bindParam(':email', $email);
// 插入行
$firstname = "John";
$lastname = "Doe";
$email = "john@example.com";
$stmt-execute();
// 插入其他行
$firstname = "Mary";
$lastname = "Moe";
$email = "mary@example.com";
$stmt-execute();
// 插入其他行
$firstname = "Julie";
$lastname = "Dooley";
$email = "julie@example.com";
$stmt-execute();
echo "新记录插入成功";
}
catch(PDOException $e)
{
echo $sql . "br" . $e-getMessage();
}
$conn = null;
?
