在 PHP 生态里，数据库访问层的选择直接影响项目的稳定性和安全性。早期开发者习惯用 MySQL 扩展完成数据读写，但随着 PHP 版本迭代，这套接口已经退出历史舞台。MySQLi 扩展的出现不仅填补了旧接口的空白，还引入了大量现代化特性。理解它们之间的区别，是每一个维护老项目或搭建新系统的 PHP 工程师的必修课。
安全防护机制的差异
最容易被忽视却最致命的区别，在于两者对 SQL 注入的防御能力。传统的 MySQL 扩展只提供 mysql_query 这类基础函数，开发者必须手动用 mysql_real_escape_string 对每一个外部变量做转义。一旦漏掉某个字段，或者字符集配置不一致，注入漏洞就直接暴露在外。这种靠人工保证的安全策略，在复杂业务里极难做到万无一失。
MySQLi 则原生支持预处理语句（prepared statements）。通过 prepare 和 bind_param，SQL 结构与数据被彻底分离，数据库引擎在编译阶段就确定了指令逻辑，后续传入的参数只会作为纯数据处理。即便攻击者拼入恶意字符串，也改变不了原有查询语义。下面是一段典型的 MySQLi 预处理写法：
<?php
$mysqli = new mysqli('127.0.0.1', 'user', 'pass', 'testdb');
if ($mysqli->connect_error) {
die('连接失败: ' . $mysqli->connect_error);
}
$stmt = $mysqli->prepare('SELECT id, name FROM users WHERE email = ?');
$stmt->bind_param('s', $email);
$email = $_POST['email'];
$stmt->execute();
$stmt->bind_result($id, $name);
while ($stmt->fetch()) {
echo $id . ' - ' . $name . "n";
}
$stmt->close();
$mysqli->close();
?>
从维护角度看，预处理还带来了另一重好处：同一条语句如果被循环执行多次，数据库只需编译一次执行计划，减少了 SQL 解析开销。而老旧 MySQL 扩展每次都要发送完整字符串，既费带宽又增加服务器负担。对于高并发接口，这种差距会直接反映在响应时间上。
编程接口与开发体验
MySQL 扩展只提供过程式的函数集，所有操作都依赖以 mysql_ 开头的全局函数，并且资源句柄必须手动在参数里传递。代码写久了会出现大量重复的连接判断和错误处理片段，可读性较差。MySQLi 同时支持过程式和面向对象两套接口，团队可以根据历史代码风格自由切换。
面向对象模式把连接、结果集、预处理都封装成了类，方法调用链更清晰。例如获取错误信息直接用 $mysqli->error，而不用像以前那样写 mysql_error($conn)。此外，MySQLi 提供了 multi_query 方法，允许在一次调用里发送多条 SQL，特别适合初始化脚本或批量更新。旧扩展完全没有对应能力，只能循环调用。
<?php
// 过程式风格示例
$link = mysqli_connect('127.0.0.1', 'user', 'pass', 'testdb');
mysqli_query($link, "SET NAMES utf8mb4");
$res = mysqli_query($link, "SELECT COUNT(*) FROM orders");
$row = mysqli_fetch_row($res);
echo '订单总数: ' . $row[0];
mysqli_close($link);
?>
在事务支持上，MySQLi 也完整暴露了 begin_transaction、commit 和 rollback 方法，让应用层能轻松实现原子操作。反观 MySQL 扩展，虽然能通过执行 SQL 命令开启事务，但缺乏统一的接口约束，容易在异常分支里忘记回滚，导致锁表或脏数据。
性能特征与扩展能力
除了安全和写法，底层性能也是考量重点。MySQLi 支持持久连接（persistent connection），通过在主机名前加 p: 前缀，可以让 PHP 进程复用已建立的 TCP 连接，避免每次请求都做三次握手。对于短平快的 API 服务，这能显著降低数据库侧的连接数压力。旧 MySQL 扩展虽也有持久连接概念，但实现粗糙，常在极端场景下引发连接泄漏。
另一个常被提及的点是 MySQLi 对服务器端准备和客户端准备的可选控制。开发者能通过 MYSQLI_CLIENT_NO_PERSISTENT 等常量微调行为，也能借助 info 属性拿到最近一次查询的执行明细。这种细粒度观测在排查慢查询时非常实用。相比之下，MySQL 扩展只给了一个模糊的 mysql_stat，信息量十分有限。
<?php
$mysqli = new mysqli('p:127.0.0.1', 'user', 'pass', 'testdb');
$mysqli->query('INSERT INTO logs(msg) VALUES ("start")');
echo $mysqli->info; // 输出类似 Records: 1 Duplicates: 0 Warnings: 0
$mysqli->close();
?>
从长远演进看，MySQL 扩展自 PHP 7.0 起已被彻底移除，继续在新环境使用会导致代码无法运行。MySQLi 不仅持续随 PHP 更新，还作为 PDO 之外最稳定的原生选项存在。综合安全、写法、性能三方面，迁移到 MySQLi 几乎是所有存量 PHP 项目的必做题，而非可选项。