php动态网站开发项目实战

去年帮朋友改一个二手交易站，态网代码翻到第三层就笑了。站开战每个商品详情页都对应一个独立PHP文件，发项item_1001.php、目实item_1002.php……一共四百多个。态网数据库里明明有商品表，站开战他偏不用，发项说“静态页面打开快”。目实结果改个价格要手动编辑二十个文件，态网加个字段得通宵。站开战这不是发项动态网站，这是目实用PHP写的静态网站。

PHP做动态网站的态网核心就一件事：把数据库里的数据，通过逻辑判断和循环，站开战塞进HTML模板里。发项听起来简单，但很多人卡在第一步——分不清“页面”和“模板”。

我见过最离谱的写法，是在HTML里直接连数据库：

<?php $conn = mysqli_connect('localhost','root','123456','shop'); $sql = "SELECT * FROM products WHERE id = " . $_GET['id']; $result = mysqli_query($conn, $sql); $row = mysqli_fetch_assoc($result); ?> <h1><?php echo $row['name']; ?></h1> <p><?php echo $row['price']; ?></p> 

能跑，但每加一个查询就复制一遍连接代码。改数据库密码？全站文件搜一遍替换。这跟把钥匙藏在门口地毯下没区别——方便，但迟早出事。

真正能用的项目，至少得拆成三层。拿一个简单的博客系统举例。第一层，config.php只放数据库连接和常量定义。第二层，functions.php里封装get_post($id)、get_posts($limit)这类函数，返回数组。第三层，模板文件只负责遍历数组输出HTML。这样换数据库从MySQL到PostgreSQL，只改config和functions里的几行，模板纹丝不动。

有个细节容易被忽略：预处理语句。我见过太多教程还在用"WHERE id = $id"直接拼SQL。去年一个学员的站被注入了，攻击者用1 OR 1=1拖走了整张用户表。后来我让他改成：

$stmt = $pdo->prepare("SELECT * FROM users WHERE email = ?"); $stmt->execute([$email]); 

他问这跟原来有什么区别。我说区别就是你不用再半夜起来删库跑路了。

分页功能是另一个照妖镜。新手写分页，通常用LIMIT 0,10硬编码，翻到第二页就变成LIMIT 10,10。页码多了之后，LIMIT 10000,10会慢得离谱。我自己的做法是用游标分页——记住上一页最后一条的ID，下一页查WHERE id < $last_id LIMIT 10。虽然不能跳页，但翻到第一万页也是毫秒级。用户真的需要跳到第837页吗？他们连第5页都懒得点。

文件上传那块，有个坑我踩过两次。$_FILES['file']['type']是浏览器告诉你的，可以伪造。有人把.php改成.jpg传上来，如果你只检查type，服务器就多了一个可执行的后门。正确的做法是用finfo_file()读真实MIME，再配合白名单扩展名。别问我是怎么知道的——那个被挂马的站我修了三个小时。

最后说模板。有人喜欢Smarty，有人用Twig，我大部分项目直接原生PHP当模板。原因很简单：PHP本身就是模板语言。<?php foreach ($posts as $post): ?> 比学一套新语法快得多。但前提是，模板里绝对不能出现SQL查询和业务逻辑。模板只做一件事：把已经准备好的数据画出来。画的时候用htmlspecialchars()包住所有输出，防止XSS。这个函数名太长？自己封装一个e()函数，三行代码的事。

写完这些，回头看那个四百个静态文件的二手站。我花了两个晚上把它改成数据库驱动，商品详情页变成一个item.php?id=1001。朋友试了试说：“好像跟以前一样快。”我说对，但你现在加一个商品只需要点一次“发布”，而不是新建一个文件再复制粘贴二十行代码。

PHP动态网站开发，说到底就是跟重复劳动和安全隐患作对。每当你发现自己要复制粘贴第三遍同样的代码时，就该停下来想想怎么把它变成函数或者模板。每当你把用户输入直接拼进SQL时，就该抽自己一下。这行干久了，你会养成一种直觉：看到$_GET和$_POST就条件反射地过滤，看到循环就想着能不能抽成组件。这种直觉，比背多少函数都有用。