PHP检查用户名是否存在：使用MySQLi预防SQL注入

沈知远

发布时间：2026-10-14 | 3人浏览过

原创

在开发用户注册系统时，校验用户名是否重复是必要环节。早期常见的直接拼接字符串方式存在严重的SQL注入风险，且依赖的mysql扩展已被移除。采用PDO或MySQLi配合预处理语句，不仅能准确判断记录是否存在，还能从根本上提升应用安全性。

安全风险与废弃标准

在旧版PHP教程中，常看到直接通过 SELECT * FROM user WHERE username='$username' 的方式检查用户。这种写法将变量直接嵌入SQL语句，若输入内容包含恶意代码（如 ' OR '1'='1），攻击者可绕过校验甚至篡改数据。此外，mysql_connect 及 mysql_num_rows 等函数已在 PHP 7.0 中被彻底移除，现代开发应转向更安全的替代方案。

基于MySQLi的安全实现步骤

第1步：建立安全连接

目的：使用 MySQLi 扩展连接数据库，获取安全操作句柄。入口：服务器配置信息。动作：调用 new mysqli() 实例化连接对象。参数：主机地址、用户名、密码、数据库名。

$host = 'localhost';
$user = 'root';
$pass = '';
$db   = 'my_db';

$conn = new mysqli($host, $user, $pass, $db);
if ($conn->connect_error) {
    die("Connection failed: " . $conn->connect_error);
}

第2步：接收并清洗输入

目的：获取前端提交的用户名和密码，防止非法输入破坏逻辑。入口：HTTP POST/GET 请求体。动作：从 $_POST 或 $_GET 中提取数据，建议使用 trim() 去除首尾空格。

$username = trim($_POST['username']);
$password = $_POST['password']; // 实际存储需哈希加密

第3步：执行预处理查询

目的：准确查询用户名是否存在，杜绝SQL注入。入口：数据库连接对象、SQL模板、绑定参数。动作：准备语句 prepare，绑定变量 bind_param，执行 execute 并获取结果计数。

// 定义预编译SQL，使用 ? 占位符
$stmt = $conn->prepare("SELECT id FROM user WHERE username = ? LIMIT 1");
if (!$stmt) {
    die("Prepare failed: " . $conn->error);
}

// 绑定参数：s 表示 string 类型
$stmt->bind_param("s", $username);
$stmt->execute();
$result = $stmt->get_result();
$count = $result->num_rows;

第4步：处理业务逻辑

目的：根据查询结果执行注册或提示。入口：查询行数 $count。动作：判断 $count > 0 则用户名已存在；否则插入新用户。

if ($count > 0) {
    echo "该用户名已存在";
} else {
    // 建议在此处对 password 使用 password_hash() 后再存入数据库
    $insertStmt = $conn->prepare("INSERT INTO user (username, password) VALUES (?, ?)");
    $insertStmt->bind_param("ss", $username, $password);
    if ($insertStmt->execute()) {
        echo "注册成功";
    } else {
        echo "插入失败: " . $conn->error;
    }
}

// 释放资源
$stmt->close();
$conn->close();

完成判断与排错指南

当屏幕输出“该用户名已存在”或“注册成功”且数据库中确有对应记录时，表示流程正常。若遇到错误，可开启 $conn->report_mode = MYSQLI_REPORT_ERROR | MYSQLI_REPORT_STRICT; 以便抛出详细的异常信息。务必确保所有动态数据均通过占位符传递，切勿在SQL字符串中直接拼接变量。

以上就是使用PHP和MySQLi安全检查用户名存在的详细内容，更多关于PHP数据库操作优化与安全防护的资料请关注本站其它相关文章！