网站显示MySQLi错误信息是否安全？PDO相关争议可信度咨询

嘿，很高兴能帮你理清这个关于数据库错误处理和MySQLi/PDO的疑问——不得不说你的双关语有点意思😉

核心结论：在网站上显示MySQLi返回的错误信息绝对不安全 #

数据库错误信息（不管是MySQLi还是PDO返回的）往往包含大量敏感细节：

• 数据库的结构信息（比如表名、列名）
• 数据库连接参数线索（比如主机地址、用户名片段）
• 甚至是查询语句本身的细节，这会给SQL注入攻击者明确的攻击方向

举个例子，mysqli_error($conn)可能返回：

Table 'my_shop.customers' doesn't exist

这直接告诉攻击者你的数据库名为my_shop，还尝试访问customers表，等于给潜在攻击者递了“地图”。

正确的错误处理方式 #

开发环境：可以显示详细错误用于调试 #

开发阶段为了快速定位问题，你可以开启MySQLi的严格错误报告：

// 开启MySQLi的严格错误模式，抛出异常而不是警告
mysqli_report(MYSQLI_REPORT_ERROR | MYSQLI_REPORT_STRICT);

try {
    $conn = new mysqli("localhost", "user", "pass", "db");
    $result = $conn->query("SELECT * FROM non_existent_table");
} catch (mysqli_sql_exception $e) {
    // 开发环境直接显示错误
    echo "调试错误：" . $e->getMessage();
}

生产环境：绝对隐藏错误，只记录日志 #

生产环境下，要完全屏蔽原生错误，转而记录到服务器日志，并给用户显示友好的通用提示：

// 关闭前端错误显示
error_reporting(0);
ini_set('display_errors', 0);

mysqli_report(MYSQLI_REPORT_ERROR | MYSQLI_REPORT_STRICT);

try {
    $conn = new mysqli("localhost", "user", "pass", "db");
    $result = $conn->query("SELECT * FROM customers");
} catch (mysqli_sql_exception $e) {
    // 将错误记录到服务器日志
    error_log("数据库错误：" . $e->getMessage() . " | 时间：" . date('Y-m-d H:i:s'));
    // 给用户显示友好提示
    echo "抱歉，请求暂时无法处理，请稍后重试。";
}

关于MySQLi与PDO的争论：“显示MySQLi错误始终安全”是错误言论 #

那些声称“显示MySQLi错误安全”的说法完全站不住脚——错误暴露的危险性和你用MySQLi还是PDO无关，只和错误处理的方式有关。

PDO和MySQLi的核心区别在于：

• PDO是通用数据库抽象层，支持MySQL、PostgreSQL等多种数据库，语法更统一
• MySQLi仅针对MySQL，提供面向对象和过程式两种写法

但在错误安全这块，两者的要求是一致的：生产环境绝对不能向用户展示原生数据库错误，必须记录日志+友好提示。PDO同样需要配置错误模式（比如PDO::ERRMODE_EXCEPTION），并在生产环境关闭错误显示。

总结 #

• 无论使用MySQLi还是PDO，生产环境暴露数据库原生错误都是高危行为
• 开发环境可以用详细错误调试，生产环境必须隐藏错误、记录日志、给用户友好反馈
• 论坛上那些“MySQLi错误显示安全”的言论没有任何技术依据，别轻信

内容的提问来源于stack exchange，提问作者Jojo