使用PDO实现用户总数量展示的正确方法是什么？

现有代码存在的问题 #

• 配置文件部分
  • PDO初始化未设置必要的核心参数，存在编码异常、SQL注入风险
  • 异常信息直接输出到前端，生产环境会泄露数据库敏感配置
• 统计用户数逻辑部分
  • 全表查询SELECT *在用户量较大时会造成严重的性能浪费，没有必要拉取全表数据仅为统计行数
  • rowCount()对SELECT语句的返回结果在不同数据库驱动下兼容性不足，统计结果不可靠

优化后的代码实现 #

config.php #

<?php
define('DB_USER', '');
define('DB_PWD', '');
define('DB_HOST', '');
define('DB_NAME', '');

// 生产环境请设置为false
$debug = false;

try {
    $options = [
        // 强制使用UTF8MB4字符集，避免乱码和 emoji 存储问题
        PDO::MYSQL_ATTR_INIT_COMMAND => 'SET NAMES utf8mb4',
        // 错误模式改为异常抛出，方便调试和捕获
        PDO::ATTR_ERRMODE => $debug ? PDO::ERRMODE_EXCEPTION : PDO::ERRMODE_SILENT,
        // 关闭PDO模拟预处理，使用MySQL原生预处理，彻底避免SQL注入风险
        PDO::ATTR_EMULATE_PREPARES => false,
        // 默认返回关联数组，减少重复配置
        PDO::ATTR_DEFAULT_FETCH_MODE => PDO::FETCH_ASSOC
    ];
    $connection = new PDO(
        "mysql:host=".DB_HOST.";dbname=".DB_NAME.";charset=utf8mb4",
        DB_USER,
        DB_PWD,
        $options
    );
} catch (PDOException $e) {
    // 调试模式输出具体错误，生产环境输出通用提示即可
    exit($debug ? "数据库连接错误：" . $e->getMessage() : "系统繁忙，请稍后再试");
}
?>

index.php #

<?php
// 建议把config.php放在web根目录之外，避免被直接访问下载
include 'includes/config.php';
// 直接用聚合函数统计行数，性能远高于全表查询
$stmt = $connection->query('SELECT COUNT(*) AS total FROM users');
$userCount = $stmt->fetch()['total'];
?>
<!-- 后续HTML代码 -->
<p><?php echo htmlspecialchars($userCount); ?></p>

额外注意事项 #

• 所有涉及用户传入参数的SQL操作，必须使用预处理语句绑定参数，绝对不能直接拼接SQL字符串
• 生产环境请关闭调试模式，所有错误信息统一记录到日志文件，不要输出到前端
• 数据库账号只分配必要的权限，不要用root账号连接业务数据库

内容的提问来源于stack exchange，提问作者aa1987ulu