同一查询中如何获取users表最后插入ID并写入users_tokens表？

嘿，我来帮你搞定这个注册后拿不到最后插入ID的问题，顺便聊聊安全性～

先排查几个最常见的原因：

• 连接对象不匹配：你执行INSERT语句的MySQL连接，和调用$mysql->insert_id的必须是同一个实例！如果开了多个连接（比如一个连接插入数据，另一个连接去拿ID），那肯定会返回0——因为insert_id是和当前连接绑定的，每个连接的这个值完全独立。
• INSERT语句没成功执行：如果因为字段验证不通过、用户名/邮箱重复（唯一键冲突）、SQL语法错误等原因，INSERT根本没插入任何数据，insert_id自然是0。建议先检查执行结果：用$mysql->affected_rows看有没有行被插入，或者打印$mysql->error排查具体错误。
• 主键不是自增类型：如果users表的主键不是AUTO_INCREMENT（比如用了UUID、手动赋值的字符串ID），那insert_id也会返回0——这个属性只针对自增列的最后插入ID。
• 驱动用混了：确认你用的是mysqli扩展的面向对象写法（你现在的$mysql->insert_id是对的），如果是PDO的话，得用$pdo->lastInsertId()，别搞混驱动哦。

给你一个正确的代码示例，照着这个来就不会错：

// 假设$mysql是已经初始化好的mysqli连接实例
// 插入用户数据（用预处理语句防注入！）
$insertUserSql = "INSERT INTO users (username, email, password) VALUES (?, ?, ?)";
$stmt = $mysql->prepare($insertUserSql);
// 绑定参数：sss代表三个字符串类型的参数
$hashedPwd = password_hash($userPassword, PASSWORD_DEFAULT); // 密码一定要哈希！
$stmt->bind_param("sss", $username, $email, $hashedPwd);
$stmt->execute();

// 先确认插入成功
if ($stmt->affected_rows > 0) {
    // 拿到刚插入的用户ID
    $newUserId = $mysql->insert_id;
    // 接着写入users_tokens表
    $insertTokenSql = "INSERT INTO users_tokens (user_id, token) VALUES (?, ?)";
    $tokenStmt = $mysql->prepare($insertTokenSql);
    $randomToken = bin2hex(random_bytes(32)); // 生成安全的随机令牌
    $tokenStmt->bind_param("is", $newUserId, $randomToken);
    $tokenStmt->execute();
} else {
    // 输出错误信息排查问题
    echo "用户注册失败：" . $mysql->error;
}

放心，这个方法本身是安全可靠的，核心原因是：

• 连接隔离机制：insert_id是和当前数据库连接绑定的，每个客户端的连接都有自己独立的insert_id值。哪怕同时有100个用户注册，每个请求的连接只能拿到自己插入的那个用户ID，绝对不会拿到别人的。
• 操作连贯性：只要你在同一个连接里，执行完INSERT后立刻获取ID，再执行令牌插入，这个过程是连贯的，不会出现ID被其他请求覆盖的情况。

不过要注意几个额外的安全细节：

• 全程用预处理语句+参数绑定，绝对不能直接拼接SQL字符串，防止SQL注入。
• 用户密码必须用password_hash()哈希后存储，绝对不能存明文。
• 生成令牌时要用random_bytes()这类密码学安全的随机函数，别用rand()这种不安全的方法。

内容的提问来源于stack exchange，提问作者Ayumi Takanashi