这套教程最值得关注的点有三个。第一学习路线不是零散的 PHP 语法点而是从浏览器里的 HTML 表单开始一路走到服务器、数据库和响应返回把一次完整请求的前后链路都串起来。第二表单验证和正则表达式单独成集不是加一个 required 就算完而是包括服务端校验、数据清洗、错误回显以及用正则做格式匹配。第三代码习惯贴近实际开发SQL 用预处理密码用哈希输出做转义按真实项目而不是教学玩具的方式写。本文会把这套教程的核心内容整理成一篇可落地的 PHP 后端学习指南包含环境准备、数据库建表、PHP 连接 MySQL、表单验证、正则表达式、完整注册案例以及常见报错排查。适合刚学完 HTML/CSS、准备进入后端开发或者想快速补一遍 PHP MySQL 全流程的读者。1. 课程整体框架6 集内容跑通一条完整链路这套 6 集内容本质上只围绕一件事让一个用户从前端表单输入数据到后端 PHP 接收并校验再写入 MySQL最后返回操作结果。先看整体的知识分布集数主题核心知识点学完能做什么第 1 集前端基础HTML 表单、GET/POST、name 属性、浏览器开发者工具理解表单数据怎么提交到后端第 2 集MySQL 安装与基础操作建库、建表、字段类型、常用 SQL会创建一张用户表并完成基本查询第 3 集PHP 环境搭建与语法基础PHP 运行环境、变量、超全局变量、连接 MySQL能写一个页面读取数据库内容第 4 集PHP MySQL 增删改查实战预处理语句、插入、查询、数据显示完成一条数据的完整提交和列表展示第 5 集表单验证必填校验、长度校验、邮箱格式、密码一致性、错误回显写出不会轻易被脏数据打穿的表单第 6 集正则表达式字符类、量词、锚点、常用模式、preg_match/preg_replace用正则做邮箱、手机号、密码强度等格式校验这个顺序建议不要乱跳。前端基础解决的是“数据从哪里来”MySQL 解决“数据存到哪”PHP 解决“数据怎么处理”表单验证和正则表达式解决“数据是不是合法”。跳着看容易在联调阶段卡住。2. 第 1 集前端基础——表单数据从哪来后端开发最容易被忽略的一步是前端表单。很多人直接写 PHP结果打开页面一片空白找不到问题在哪其实根因在前端没有把数据正确提交到后端。2.1 一个最基本的 HTML 表单创建register.html!DOCTYPE html html langzh-CN head meta charsetUTF-8 title用户注册/title /head body h2用户注册/h2 form actionregister.php methodpost p label forusername用户名/label input typetext idusername nameusername required /p p label foremail邮箱/label input typeemail idemail nameemail /p p label forpassword密码/label input typepassword idpassword namepassword /p button typesubmit提交注册/button /form /body /html这里最关键的不是action和method而是每个输入项的name属性。nameusername决定了 PHP 代码里能用$_POST[username]拿到这个值。如果把name忘掉前端看起来一切正常后端却永远收不到这个字段。2.2 GET 和 POST 怎么选GET 参数会拼在 URL 后面适合搜索、筛选、分页这类不敏感且需要支持分享链接的请求。POST 参数放在请求体里适合登录、注册、提交订单等会修改数据的场景。对比项GETPOST参数位置URL 查询字符串请求体浏览器回退重新执行请求可能重复提交通常会提示“重新提交表单”数据长度受 URL 长度限制相对宽松缓存可能被浏览器或代理缓存默认不缓存安全参数会出现在历史记录和日志中参数不直接暴露在 URL但仍需加密传输实际开发中还有一个习惯判断标准修改数据用 POST查询数据用 GET。不要因为 POST 看起来更安全就把所有请求都改成 POST。2.3 用开发者工具观察请求这一步非常建议手动做一遍。打开浏览器开发者工具切到 Network 面板提交表单后点击register.php这次请求在 Payload 或 Request 部分能看到username...email...这样的数据。这样能直观理解“表单数据”长什么样后面排查后端接收不到参数时也能更快定位。3. 第 2 集MySQL 安装与基础操作PHP 本身不负责持久化数据数据最终要落到 MySQL。很多初学者卡在这一步不是 SQL 不会写而是 MySQL 环境没装明白。3.1 环境安装Windows 上常见的选择是直接装集成环境比如 phpStudy、XAMPP、Laragon。这类工具会把 Apache/Nginx、PHP、MySQL 打包到一起启动一个面板就能同时管理。macOS 上除了集成环境也可以用 Homebrew 安装brew install mysql brew services start mysqlLinux 上以 Ubuntu/Debian 为例sudo apt update sudo apt install mysql-server -y sudo systemctl start mysql sudo systemctl enable mysql安装完后建议先确认服务能连上mysql -u root -p新装的 MySQL root 账号默认密码因安装方式不同差别很大。如果是集成环境通常在面板里可以直接看到或修改 root 密码如果是独立安装初始密码可能写在安装日志里需要先查再改。3.2 建库建表登录 MySQL 后执行CREATE DATABASE IF NOT EXISTS php_demo DEFAULT CHARACTER SET utf8mb4 COLLATE utf8mb4_unicode_ci; USE php_demo; CREATE TABLE users ( id INT UNSIGNED NOT NULL AUTO_INCREMENT, username VARCHAR(50) NOT NULL, email VARCHAR(100) NOT NULL, password_hash VARCHAR(255) NOT NULL, created_at TIMESTAMP NOT NULL DEFAULT CURRENT_TIMESTAMP, PRIMARY KEY (id), UNIQUE KEY idx_email (email) ) ENGINEInnoDB DEFAULT CHARSETutf8mb4;这段表结构已经考虑了三个实际开发问题。第一是字符集数据库和表都指定utf8mb4避免中文乱码utf8mb4_unicode_ci排序规则也能更准确地处理中英文比较。第二是InnoDB引擎支持事务和外键事务对于订单、支付这类数据完整性要求高的场景非常重要。第三是邮箱字段加了唯一索引idx_email防止同一个邮箱重复注册后面 PHP 里也能通过捕获唯一索引冲突来拦截重复账号。3.3 基础 SQL 操作日常最常用的几类 SQL 一定要亲手敲一遍-- 插入数据 INSERT INTO users (username, email, password_hash) VALUES (test, testexample.com, hashed_value); -- 查询 SELECT id, username, email, created_at FROM users WHERE email testexample.com; -- 更新 UPDATE users SET username test2 WHERE id 1; -- 删除 DELETE FROM users WHERE id 1;这几条语句覆盖了 PHP 后端 CRUD 的绝大部分场景。后面第 4 集会把这些 SQL 接进 PHP 代码这里先确保能在命令行或 phpMyAdmin 里正确执行。4. 第 3 集PHP 环境搭建与语法基础4.1 跑起来第一个 PHP 脚本环境装好后用php -v看一下版本。PHP 7.4 以下版本已经停止安全维护建议使用 PHP 8.0 以上版本。不想配置完整 Web 服务器时可以用 PHP 内置的开发服务器做快速验证php -S 127.0.0.1:8000然后在同目录下创建index.php?php $name 小明; $age 20; echo 姓名 . $name . 年龄 . $age . PHP_EOL; ?浏览器访问http://127.0.0.1:8000/index.php能看到页面输出。这套流程是本地 PHP 学习最轻量的启动方式不需要先启动 Apache 或 Nginx。4.2 超全局变量PHP 后端开发中最常用的超全局变量是$_GET、$_POST和$_SERVER。$_GET和$_POST分别接收 GET 与 POST 请求参数$_SERVER保存请求头、请求方法、URI 等服务器环境信息。先改一下表单的actionregister.php然后创建register.php?php var_dump($_POST); ?提交表单后页面会输出一个数组数组的键对应表单里的name属性。这一步能直接把“前端数据”和“后端接收”两个环节连起来。注意不要滥用$_REQUEST它同时包含 GET、POST 和 Cookie 数据在参数同名时行为容易产生歧义实际项目中尽量明确使用$_GET或$_POST。4.3 连接 MySQLPHP 连接 MySQL 有两种主流方式mysqli 和 PDO。PDO 支持多种数据库驱动、预处理语句写法更统一这里以 PDO 为例。创建db.php?php $dsn mysql:host127.0.0.1;dbnamephp_demo;charsetutf8mb4; $user root; $password root; try { $pdo new PDO($dsn, $user, $password, [ PDO::ATTR_ERRMODE PDO::ERRMODE_EXCEPTION, PDO::ATTR_DEFAULT_FETCH_MODE PDO::FETCH_ASSOC, ]); echo 数据库连接成功 . PHP_EOL; } catch (PDOException $e) { echo 连接失败 . $e-getMessage() . PHP_EOL; exit; } ?root密码要根据自己 MySQL 的实际配置修改。在生产环境不要使用 root 账号连接业务数据库应该单独创建最小权限账号。PDO::ERRMODE_EXCEPTION让 SQL 出错时直接抛异常调试阶段比默认返回 false 更容易定位问题。5. 第 4 集PHP MySQL 增删改查实战连接数据库只是开始真正的工作是数据读写。这一集完成注册数据的入库和用户列表展示。5.1 用预处理语句插入数据register.php文件从简单的var_dump改成真实入库?php require db.php; $username $_POST[username] ?? ; $email $_POST[email] ?? ; $password $_POST[password] ?? ; $sql INSERT INTO users (username, email, password_hash) VALUES (:username, :email, :password_hash); $stmt $pdo-prepare($sql); $stmt-execute([ :username $username, :email $email, :password_hash password_hash($password, PASSWORD_DEFAULT), ]); $userId $pdo-lastInsertId(); echo 注册成功用户ID . $userId . PHP_EOL; ?这里有两个关键点。第一是必须用预处理语句而不是把变量直接拼进 SQL。直接拼接容易造成 SQL 注入比如用户名输入; DROP TABLE users; --如果拼接进 SQL 就可能执行恶意语句。预处理把数据和 SQL 模板分离开让数据库对数据进行安全转义这是 PHP 后端最基本的安全红线。第二是密码不能明文存储。password_hash函数默认使用 bcrypt 算法同一密码每次生成的哈希也不相同暴力破解成本高很多。验证密码时用password_verify($inputPassword, $storedHash)不能用比较。5.2 查询并输出到页面创建list.php?php require db.php; $stmt $pdo-query(SELECT id, username, email, created_at FROM users ORDER BY created_at DESC); $users $stmt-fetchAll(); ? !DOCTYPE html html langzh-CN head meta charsetUTF-8 title用户列表/title /head body table border1 tr thID/th th用户名/th th邮箱/th th注册时间/th /tr ?php foreach ($users as $user): ? tr td? htmlspecialchars($user[id], ENT_QUOTES, UTF-8) ?/td td? htmlspecialchars($user[username], ENT_QUOTES, UTF-8) ?/td td? htmlspecialchars($user[email], ENT_QUOTES, UTF-8) ?/td td? htmlspecialchars($user[created_at], ENT_QUOTES, UTF-8) ?/td /tr ?php endforeach; ? /table /body /html输出用户数据到 HTML 时统一用htmlspecialchars转义。用户填写的用户名和邮箱如果包含script标签不转义就会被浏览器当成 HTML/JavaScript 执行形成 XSS 漏洞。ENT_QUOTES会让单引号和双引号都转义UTF-8保证中文字符不出问题。5.3 更新和删除更新和删除也使用预处理?php require db.php; $id (int)($_POST[id] ?? 0); $newUsername trim($_POST[username] ?? ); $stmt $pdo-prepare(UPDATE users SET username ? WHERE id ?); $stmt-execute([$newUsername, $id]); echo 更新成功影响行数 . $stmt-rowCount() . PHP_EOL; // 删除 $stmt $pdo-prepare(DELETE FROM users WHERE id ?); $stmt-execute([$id]); echo 删除成功影响行数 . $stmt-rowCount() . PHP_EOL; ?6. 第 5 集表单验证——前后端一起做前端验证解决不了安全问题因为请求可以被绕过也可以直接构造。真正的可信校验必须放在后端。6.1 前端校验在 HTML 中能做的校验有required、typeemail、minlength、maxlength、pattern。这种校验提升用户体验让用户在不刷新页面的情况下快速发现错误但并不能保证提交到后端的数据一定合法。6.2 后端校验流程在register.php里加入校验逻辑?php require db.php; $errors []; $username trim($_POST[username] ?? ); $email trim($_POST[email] ?? ); $password $_POST[password] ?? ; $confirm_password $_POST[confirm_password] ?? ; // 用户名必填、长度 if (mb_strlen($username) 2 || mb_strlen($username) 20) { $errors[] 用户名长度应为 2 到 20 个字符; } // 邮箱必填、格式 if (!filter_var($email, FILTER_VALIDATE_EMAIL)) { $errors[] 邮箱格式不正确; } // 密码必填、长度 if (mb_strlen($password) 8) { $errors[] 密码至少需要 8 位; } // 确认密码必须一致 if ($password ! $confirm_password) { $errors[] 两次输入的密码不一致; } if (!empty($errors)) { foreach ($errors as $error) { echo p . htmlspecialchars($error, ENT_QUOTES, UTF-8) . /p; } exit; } // 通过校验后再写数据库 $stmt $pdo-prepare(SELECT id FROM users WHERE email ?); $stmt-execute([$email]); if ($stmt-fetch()) { echo p该邮箱已被注册/p; exit; } $sql INSERT INTO users (username, email, password_hash) VALUES (?, ?, ?); $stmt $pdo-prepare($sql); $stmt-execute([$username, $email, password_hash($password, PASSWORD_DEFAULT)]); echo p注册成功/p; ?这段代码给出了表单验证的标准顺序先收集所有错误再决定是否写库。不要在第一个错误发生时就用exit中断用户体验会很差。6.3 错误回显与输入保留更友好的做法是回到表单页显示错误并保留用户填过的值。在表单输入框中加一个三元判断input typetext nameusername value? htmlspecialchars($_POST[username] ?? , ENT_QUOTES, UTF-8) ?刷新页面后用户名不会丢用户只需要改错误字段。错误提示区可以放在表单顶部?php if (!empty($errors)): ? ul ?php foreach ($errors as $error): ? li? htmlspecialchars($error, ENT_QUOTES, UTF-8) ?/li ?php endforeach; ? /ul ?php endif; ?6.4 服务端校验和接口返回值如果 PHP 是作为接口服务使用通常不做 HTML 回显而是返回 JSONheader(Content-Type: application/json); if (!empty($errors)) { http_response_code(422); echo json_encode([code 422, errors $errors], JSON_UNESCAPED_UNICODE); exit; }返回 JSON 后前端拿到errors数组就可以自行渲染错误提示。这种模式就是前后端分离的基础形态后续可以把前端框架和后端 PHP 解耦。7. 第 6 集正则表达式——规则匹配很多表单校验需求前端pattern写不了这时正则表达式就成了后端文本处理的利器。PHP 使用 PCRE 正则扩展主要函数是preg_match、preg_match_all、preg_replace。7.1 常用模式示例?php $patterns [ 邮箱 /^[a-zA-Z0-9._%-][a-zA-Z0-9.-]\.[a-zA-Z]{2,}$/, 中国大陆手机号 /^1[3-9]\d{9}$/, 用户名 /^[a-zA-Z0-9_\x{4e00}-\x{9fa5}]{2,20}$/u, 密码强度 /^(?.*[A-Za-z])(?.*\d).{8,20}$/, ]; $testCases [ testexample.com 邮箱, 13812345678 中国大陆手机号, 张三_2024 用户名, abc123456 密码强度, ]; foreach ($testCases as $value $type) { if (preg_match($patterns[$type], $value)) { echo $type . 校验通过 . $value . PHP_EOL; } else { echo $type . 校验失败 . $value . PHP_EOL; } } ?几个关键点邮箱正则是比较实用的通用版本没有覆盖所有边缘情况但足够拦截绝大多数格式错误。手机号正则/^1[3-9]\d{9}$/表示以 1 开头第二位是 3 到 9 的数字后面 9 位任意数字一共 11 位。用户名正则后面要加u修饰符否则 PHP 处理中文会按字节匹配\x{4e00}这类 Unicode 写法在没加u修饰符时不会正确生效。密码强度正则里的(?.*[A-Za-z])是正向先行断言要求字符串中至少有一个字母(?.*\d)要求至少有一个数字。两个断言组合后密码必须同时包含字母和数字。7.2 正则语法速查语法含义示例^匹配字符串开头/^a/匹配abc$匹配字符串结尾/c$/匹配abc.匹配除换行外的任意字符a.c匹配abc*前一个字符出现 0 次或多次ab*c匹配ac、abc前一个字符出现 1 次或多次abc匹配abc、abbc?前一个字符出现 0 次或 1 次ab?c匹配ac、abc[]字符类[0-9]匹配数字()分组(ab)匹配abab或\d数字等同于[0-9]\w字母、数字、下划线等同于[a-zA-Z0-9_]7.3 用正则做数据清洗正则不只做校验还可以做替换。比如清理用户输入中的危险标签?php $text scriptalert(xss)/script这是正常内容; $clean preg_replace(/script.*?\/script/is, , $text); echo htmlspecialchars($clean, ENT_QUOTES, UTF-8) . PHP_EOL; ?i修饰符让匹配忽略大小写s修饰符让.能匹配换行符.*?中的?表示非贪婪匹配避免把两个script标签之间的所有内容都清掉。7.4 正则的边界能用字符串函数就不用正则正则不是万能的。简单的字符串处理可以用trim、str_contains、str_replace性能更好可读性更强。比如判断用户输入是否包含固定敏感词用str_contains就够了没必要写一个复杂的正则。正则应该用在“模式确实复杂”的场景例如邮箱、手机号、URL、IP 地址、身份证号等结构化格式。8. 常见错误与排查方法PHP 后端报错信息通常比较明确这里整理了新手最容易遇到的几类问题。问题现象可能原因排查方式解决方案数据库连接报Access denied用户名或密码错误检查db.php中的账号信息在命令行用同样账号登录验证SQLSTATE[HY000] [1049]数据库不存在检查库名拼写重新执行创建数据库语句中文显示乱码字符集不一致检查页面编码、数据库字符集统一使用utf8mb4表单提交后$_POST为空表单输入项缺少name属性用开发者工具查看请求负载给每个输入项添加namepreg_match处理中文报错缺少u修饰符查看 PHP 日志中的警告信息正则末尾加u修改代码后页面没变化PHP OpCache 未刷新或使用了内置服务器的缓存刷新浏览器并确认服务在运行重启内置服务器生产环境按需配置 OpCache端口被占用Apache/Nginx 或 PHP 内置服务器端口被其他程序占用检查端口监听修改端口后重启服务密码写入数据库后无法验证存储的是明文或哈希方式不同检查写入和验证是否使用同一套逻辑统一使用password_hash和password_verify排查这类问题有一个通用顺序先看浏览器请求确认前端数据发送正常再看 PHP 报错日志确认后端执行到哪一步最后看 SQL 结果确认数据库操作是否符合预期。不要反过来先在数据库里猜。9. 工程化最佳实践与安全边界教程跑通后可以按下面这些建议把代码往工程化方向整理。9.1 参数获取统一化不要直接使用$_POST[username]这样的写法未定义时会触发一个 notice 级别的提示。统一用空合并运算符$username trim($_POST[username] ?? );trim去掉首尾空格?? 确保未提交时也不会报错。9.2 统一错误处理数据库异常建议交给全局异常处理器不要把每条 SQL 都包一层 try-catch。在db.php中设置set_exception_handler(function (Throwable $e) { error_log($e-getMessage()); http_response_code(500); echo 服务器内部错误; });这样业务代码可以专注于逻辑不会被数据库异常到处打断。调试阶段可以临时把错误显示打开上线前必须关闭。9.3 安全基线SQL 注入所有带用户输入的 SQL 必须走预处理语句。XSS所有输出到 HTML 的动态内容使用htmlspecialchars转义。密码使用password_hash和password_verify不要自己实现哈希算法。权限生产环境不要用 root 账号连接数据库为应用单独设置账号和最小权限。CSRF涉及改密码、删除、转账等敏感操作时建议在表单中生成随机 token提交时校验防止跨站请求伪造。传输生产环境必须启用 HTTPS避免表单数据在传输中被窃取。9.4 目录结构如果项目继续变大建议按功能分目录project/ ├── public/ # Web 根目录只放入口文件 │ ├── index.php │ ├── register.php │ └── list.php ├── src/ # 业务代码 │ ├── Database.php │ ├── Validator.php │ └── User.php ├── templates/ # 视图模板 └── config/ └── db.phpPHP 内置服务器在项目根目录运行时可以用php -S 127.0.0.1:8000 -t public指定 Web 根目录为public避免用户直接访问到配置文件。10. 学完这 6 集之后怎么走这套 6 集内容覆盖的是 PHP 后端从零到一的最短路径。跑通注册和列表以后建议继续做三件事。第一把功能补齐。增加登录、退出、修改密码、删除账号完整走一遍用户的整个生命周期。登录时用password_verify验证密码登录成功后把用户 ID 写入 Session。这样会对用户状态管理有更直观的理解。第二引入 Composer 和框架。Composer 是 PHP 的依赖管理工具composer require可以安装第三方包是现代 PHP 项目的基础设施。之后可以往 ThinkPHP、Laravel 这类 MVC 框架迁移框架会帮助你整理路由、控制器、模型和视图的职责。第三转向前后端分离。后端只输出 JSON把前端交给 Vue、React 这类框架。PHP 在此时只承担接口服务的工作需要处理好跨域请求、API 参数校验、鉴权和接口文档。这也是后端开发目前很主流的协作方式。本教程中关于$_POST和 JSON 返回的写法已经为这一步打下了基础。如果只记一句话收尾先别急着加更多功能把“注册一个用户并显示在列表里”这件事完整跑通PHP 后端的核心链路你就已经拿到了。