mysqli_multi_query易出错因其仅按分号切分执行、无语法校验、无参数绑定、无自动回滚，易致SQL注入、部分执行、连接卡死；安全替代是事务+预处理语句。
mysqli_multi_query
不能安全地执行多条 SQL 语句——它本身不提供语句隔离、参数绑定或自动错误中断机制，直接使用极易引发 SQL 注入、部分执行、资源泄漏等问题。
为什么 mysqli_multi_query 容易出错
这个函数只是把一整段字符串按分号切开、依次送进 MySQL 执行，中间不做任何语法校验、参数转义或事务封装。常见问题包括：
任意一条语句失败（比如
主键冲突），后续语句仍会继续执行，无法回滚
用户输入若拼进原始 SQL 字符串（如用
拼接表名），
对表名/列名无效，直接触发注入
返回结果集和非查询语句（如
）混在一起，必须手动调用
和
，漏掉一个就会卡死连接
MySQL 默认关闭多语句支持（
必须显式开启，否则静默失败）
替代方案：用事务 + 单条预处理语句组合
真正安全的做法是放弃“一次传多条”，改用
+ 多次
，每条语句独立绑定参数：
这样每条语句都受类型约束、自动转义，失败时可统一回滚。
PHP 8.5.5
PHP 8.5.5 是 PHP 8.5 分支的维护更新版本。该版本延续了“小步快跑”的迭代逻辑，通过深度错误修复、底层性能微调以及安全加固，旨在为开发者提供一个更健壮、更高效的运行环境。该版本严格遵守语义化版本规范，不包含破坏性变更。
下载
立即学习
“
PHP免费学习笔记（深入）
”；
如果真要硬用 mysqli_multi_query，必须满足这三点
仅限于执行完全可信的、无用户输入的管理类脚本（如部署时建表+初始化数据），且需手动补全所有安全环节：
确认 MySQL 配置已启用多语句：
SQL 字符串必须来自硬编码或白名单配置，绝不可拼接
/
等外部输入
必须循环处理全部结果：
，否则连接会被锁住
实际项目里，真正需要“多语句原子性”的场景极少；绝大多数所谓“多条 SQL”本质是业务逻辑，该拆成多个带事务控制的步骤，而不是塞进一个字符串里赌运气。
INSERT$_POST['table']mysqli_real_escape_stringUPDATEmysqli_store_resultmysqli_next_resultmysqli.options(MYSQLI_OPT_MULTI_STATEMENTS, true)mysqli_begin_transactionmysqli_prepare$mysqli = new mysqli('localhost', 'u', 'p', 'db');
$mysqli->begin_transaction();
$stmt1 = $mysqli->prepare("INSERT INTO users (name) VALUES (?)");
$stmt1->bind_param("s", $name);
$stmt1->execute();
$stmt2 = $mysqli->prepare("UPDATE logs SET status = ? WHERE id = ?");
$stmt2->bind_param("si", $status, $log_id);
$stmt2->execute();
if ($mysqli->errno) {
$mysqli->rollback();
} else {
$mysqli->commit();
}mysqli_options($link, MYSQLI_OPT_MULTI_STATEMENTS, true)$_GET$_POSTdo { $result = mysqli_store_result($link); if ($result) mysqli_free_result($result); } while (mysqli_more_results($link) && mysqli_next_result($link))