简介这套PHP学生成绩管理系统是一份面向PHP学习者和Web开发初学者的完整源码项目。系统基于PHPMySQL搭建结合Bootstrap框架实现响应式界面覆盖学生信息管理、成绩记录的增删改查支持按学生ID、姓名或成绩范围进行检索并采用PDO预处理语句防止SQL注入代码结构上体现了MVC分层思想便于二次开发与维护。压缩包共112个文件包括39个PHP业务文件、17个CSS样式文件、10个JS交互脚本、10个HTML页面以及1个SQL数据库脚本同时包含多种字体与图标资源整体压缩后约1.21MB目录分类清晰能够快速定位前端样式、后端逻辑和数据库初始化代码。目前已有1090人学习下载。通过运行和修改这份项目读者能完整掌握PHP操作MySQL的增删改查流程、Bootstrap组件在管理后台中的实际用法并积累课程设计或实际项目中的排错思路与二次开发经验是一套适合动手实操、复习Web开发全流程的优质参考资料。1. 学生成绩管理系统这个 ZIP 里到底装的什么收到PHP学生成绩管理系统.zip这样的压缩包第一反应往往是无脑解压然后双击 index.php 开始试。但凡是动手跑过三个以上这类课设项目的工程师都清楚成绩管理系统是 PHP 里最典型的闭环用户认证、权限控制、增删改查、数据统计、报表导出、文件上传全占了。任何一个环节处理不干净项目就停留在“能跑”而不是“能用”。这篇文不替某个具体源码背书只按一线通常做法给你一套可落地的顺序先拆分功能模块再把本地环境跑通建好成绩表结构然后写登录与成绩读写逻辑最后收在统计导出和安全性自检上。新入行的人照着装上就能调试干了几年的人可以重点关注鉴权设计与上传边界处理。项目本身不大但坑全在细节里。2. 本地环境搭建Nginx、PHP-FPM 与内置服务器怎么选解压后先别急着开 IDE先观察项目根目录。常见的学生成绩管理系统至少会有admin/、student/、includes/、config/、SQL/这样的结构config 里写数据库账号SQL 目录里放着建库脚本。如果你拿到的 ZIP 里没有 SQL 文件说明作者默认你会自己建库后面所有表结构都要手工补这一点先确认清楚能省下大量排查时间。2.1 解压后先执行两条命令确认目录和运行要求Linux 或 macOS 下直接用 tree 看结构Windows 下可以用tree /F不过输出会带中文乱码建议用 Git Bash 或者 VS Code 的文件夹树更直观。tree -L 2 -I vendor|node_modules . head -50 includes/config.php-L 2表示只展开两层目录-I是排除不需要关心的目录避免输出刷屏。head看配置文件的头部重点确认数据库常量名是DB_HOST、DB_PORT、DB_USER、DB_PASS还是直接裸写全局变量。老项目很喜欢在 config 里用$conn mysqli_connect(...)那么后面所有查询代码都是面向过程风格改成 PDO 的成本就会高很多。你要根据这个决定后面是补兼容层还是直接重写数据访问部分。2.2 最快跑通方式PHP 内置服务器Windows 10 或 Windows 11 上还没装 PHP 的话先下载 PHP 8.x 的 Windows 二进制包解压后把php.exe所在目录加进 PATH。然后进入项目目录启用内置服务器验证项目能不能启动php -S 127.0.0.1:8080 -t public-S指定监听地址和端口-t指定 Web 根目录。这里故意用127.0.0.1而不是0.0.0.0内置服务器只用于本地调试暴露到局域网会有被扫描的风险。启动后如果页面白屏先执行php -m检查pdo_mysql、mbstring、openssl这些扩展是否已启用成绩系统最常见的白屏原因就是缺pdo_mysql。2.3 Nginx 配置里必须写对的三处参数本机最终还是要切到 Nginx 上跑原因是内置服务器是单线程的打开两个页面同时查询就会互相阻塞演示给老师看问题不大但你自己做并发测试时会得到错误结论。下面是一个针对此类项目的 Nginx 站点配置server { listen 80; server_name score.local; root /var/www/score/public; index index.php; location / { try_files $uri $uri/ /index.php?$query_string; } location ~ \.php$ { include fastcgi_params; fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name; fastcgi_pass 127.0.0.1:9000; } }try_files的作用是让不存在的路径回退到index.php单入口框架必须这样写。fastcgi_param SCRIPT_FILENAME指定实际执行的脚本路径写错了 Nginx 会一直报 404。fastcgi_pass 127.0.0.1:9000要和php-fpm的listen保持一致新版 PHP-FPM 默认可能监听在php-fpm.sock上那时这里的地址要改成对应 socket 路径。参数对应关系如下配置项常见取值用途try_files$uri $uri/ /index.php?$query_string伪静态与前端控制器分发fastcgi_param SCRIPT_FILENAME$document_root$fastcgi_script_name让 PHP-FPM 知道要执行哪个文件fastcgi_pass127.0.0.1:9000或unix:/run/php-fpm.sockPHP-FPM 监听地址2.4 PHP 版本兼容老项目在 PHP 8 上最常见的三处白屏老式成绩系统多为 PHP 5 时代产物直接跑在 PHP 8 上容易碰到致命错误。最常见的是mysql_*系列函数已移除必须换成mysqli或PDO其次是each()在 PHP 8.0 删除很多遍历代码会直接 Fatal Error还有create_function()被移除。排查思路是打开错误日志看第一条 Fatal error 指向哪个文件先修语法再谈业务逻辑。命令行下加-d display_errors1可以快速看到首个错误php -d display_errors1 -l admin/index.php-l只做语法检查不执行代码适合快速扫一遍整个项目的 PHP 文件是否都能通过解析。3. 学生成绩数据建模三张表、一个唯一索引、一条连表 SQL成绩系统的核心不是 PHP 代码而是表结构。很多初学者喜欢把学生、班级、科目、成绩全塞进一张大宽表里查询是方便了但改一个课程名要 UPDATE 几万行删除学生时还容易留下孤儿数据。正确的做法是从一开始就拆开把“谁、哪门课、考了多少分”这个三元组单独落一张表。下面这套结构是我做同类系统时默认采用的最小可用方案。3.1 三张表的字段设计和关系学生表保存学生基本信息课程表保存课程定义成绩表只保存关联和分数不冗余学生姓名和课程名。表名关键字段说明studentid,student_no,name,class_name,created_atstudent_no加唯一索引courseid,course_name,credit,teacher_id学分用 DECIMAL 避免浮点误差scoreid,student_id,course_id,score,term,created_at联合唯一索引防重复录入student_no虽然业务上唯一但还是建议用自增id作为主键。学号在转学、重编班时可能变化主键一旦被关联表引用改起来会牵连成绩数据。用自增主键后学号只做业务唯一约束该改就改不影响成绩表。3.2 建库建表脚本外键与字符集一次到位MySQL 8 下执行下面的 SQL字段类型和索引都按生产标准写CREATE DATABASE IF NOT EXISTS score_db DEFAULT CHARACTER SET utf8mb4 COLLATE utf8mb4_unicode_ci; USE score_db; CREATE TABLE student ( id BIGINT UNSIGNED AUTO_INCREMENT PRIMARY KEY, student_no VARCHAR(20) NOT NULL, name VARCHAR(50) NOT NULL, class_name VARCHAR(50) DEFAULT , created_at TIMESTAMP DEFAULT CURRENT_TIMESTAMP, UNIQUE KEY uk_student_no (student_no) ) ENGINEInnoDB; CREATE TABLE course ( id BIGINT UNSIGNED AUTO_INCREMENT PRIMARY KEY, course_name VARCHAR(100) NOT NULL, credit DECIMAL(3,1) DEFAULT 0.0 ) ENGINEInnoDB; CREATE TABLE score ( id BIGINT UNSIGNED AUTO_INCREMENT PRIMARY KEY, student_id BIGINT UNSIGNED NOT NULL, course_id BIGINT UNSIGNED NOT NULL, score DECIMAL(5,2) NOT NULL, term VARCHAR(20) NOT NULL, created_at TIMESTAMP DEFAULT CURRENT_TIMESTAMP, UNIQUE KEY uk_student_course_term (student_id, course_id, term), CONSTRAINT fk_score_student FOREIGN KEY (student_id) REFERENCES student(id) ON DELETE CASCADE, CONSTRAINT fk_score_course FOREIGN KEY (course_id) REFERENCES course(id) ON DELETE CASCADE ) ENGINEInnoDB;utf8mb4是必选项因为utf8mb3存不了 Emoji 和部分生僻字学生姓名里出现这类字符时写入会报错。DECIMAL(5,2)表示最大三位整数加两位小数成绩最高 100 分足够。外键ON DELETE CASCADE表示删除学生时对应成绩也删掉符合成绩管理系统直觉。但要注意如果未来需求改成“学生离校但成绩必须留档”这里就要改成ON DELETE RESTRICT把删除改为逻辑删除前端不显示但数据不丢。3.3 重复录入的坑联合唯一索引与 ON DUPLICATE KEY UPDATE成绩表最容易出的问题不是查不到数而是同一学生同一学期同一门课录了两次导致统计平均值翻倍。联合唯一索引uk_student_course_term从数据库层面拦住重复数据代码里再做一次“存在则更新不存在则插入”的幂等写入更妥当INSERT INTO score (student_id, course_id, score, term) VALUES (:sid, :course_id, :score, :term) ON DUPLICATE KEY UPDATE score VALUES(score);ON DUPLICATE KEY UPDATE是 MySQL 特有的语法当联合唯一索引冲突时执行更新而非报错。后面那个VALUES(score)在新版 MySQL 中已被标记为 deprecated更严谨的写法是直接用别名INSERT INTO ... VALUES (...) AS new ON DUPLICATE KEY UPDATE score new.score。但为了兼容 PHP 项目里常见的 MySQL 5.7老写法仍然可用注意这一点就行。3.4 查询视图JOIN 写清楚业务字段交给 SQL查询成绩列表时很多人喜欢在WHERE里拼两个表然后用逗号隐式连接不建议显式JOIN可读性和维护性都好得多SELECT s.student_no, s.name, c.course_name, sc.score, CASE WHEN sc.score 60 THEN 及格 ELSE 不及格 END AS result FROM score sc JOIN student s ON s.id sc.student_id JOIN course c ON c.id sc.course_id WHERE sc.term :term ORDER BY sc.score DESC;CASE WHEN把及格判断放进 SQLPHP 模板端就不需要再拆分数做逻辑拿到行数据后直接展示result字段就行。这样写的另一个好处是后面做导出报表时导出的 CSV 直接带“及格/不及格”列不用在 PHP 里二次处理减少导出和页面展示结果不一致的可能。4. 登录鉴权、成绩录入与查询PHP 代码怎么写才不会跑偏这章进入实际编码环节也是整个系统里最容易翻车的地方。大多数成绩系统源码的问题不是功能缺失而是登录逻辑形同虚设密码明文存在数据库、$_GET参数直接拼 SQL、上传文件不做类型校验。下面按角色权限、登录会话、成绩写入、错误处理四个层面各给一套能直接落地的写法。4.1 三种角色和最小权限矩阵学生成绩管理系统至少包含管理员、教师、学生三种角色。管理员负责建账号、开课程教师录成绩、看自己教的班学生只能查自己的成绩。权限矩阵最好在开发前就固定下来后面每个页面入口都要校验而不是等菜单做出来了再补。操作管理员教师学生学生账号管理增删改查只读无课程管理增删改查只读无成绩录入全部本人课程无成绩查询全部本人课程本人报表导出全部本人课程无最小权限的意思是页面菜单可以都渲染出来但后端入口必须单独判断角色。只隐藏前端按钮而不做后端校验是最常见的漏洞来源。直接访问admin/student_add.php就能操作那就是权限绕过。4.2 登录逻辑password_hash、Session 与会话固定攻击登录代码不要用 MD5 加盐这种自创方案PHP 自带password_hash和password_verify就是标准答案。密码字段长度在数据库里要设成VARCHAR(255)因为bcrypt的哈希结果不是定长 32 位很多老表结构只给VARCHAR(32)存进去直接报错或者被截断?php // login.php session_start(); $username trim($_POST[username] ?? ); $password $_POST[password] ?? ; if ($username || $password ) { exit(用户名和密码不能为空); } usleep(random_int(200000, 500000)); $stmt $pdo-prepare(SELECT id, username, role, password_hash FROM users WHERE username ? LIMIT 1); $stmt-execute([$username]); $user $stmt-fetch(PDO::FETCH_ASSOC); if (!$user || !password_verify($password, $user[password_hash])) { exit(用户名或密码错误); } session_regenerate_id(true); $_SESSION[uid] (int) $user[id]; $_SESSION[role] $user[role]; header(Location: dashboard.php); exit;usleep加 200 到 500 毫秒随机延迟目的是拉长暴力破解的单次请求周期成本极低但效果明显。session_regenerate_id(true)在登录成功后更换 Session ID防止 Session 固定攻击参数true表示删除旧 Session 文件。登录跳转用header(Location: ...)后必须exit否则后续代码可能继续执行出问题。4.3 成绩录入PDO 参数绑定、CSRF 校验成绩录入页面的核心动作在insert_score.php这里只写后端处理部分。使用 PDO 预处理语句后SQL 注入的入口基本被堵死但还没处理请求伪造问题所以表单里必须带 CSRF Token?php // insert_score.php session_start(); if (($_SESSION[role] ?? ) admin || ($_SESSION[role] ?? ) teacher) { // 有权限继续执行 } else { exit(无权操作); } if (!hash_equals($_SESSION[csrf_token], $_POST[csrf_token] ?? )) { exit(CSRF 校验失败请刷新页面重试); } $student_id (int) ($_POST[student_id] ?? 0); $course_id (int) ($_POST[course_id] ?? 0); $score (float) ($_POST[score] ?? 0); $term trim($_POST[term] ?? ); if ($student_id 0 || $course_id 0 || $term ) { exit(参数不完整); } $stmt $pdo-prepare( INSERT INTO score (student_id, course_id, score, term) VALUES (:sid, :cid, :score, :term) ON DUPLICATE KEY UPDATE score :score2 ); $stmt-execute([ :sid $student_id, :cid $course_id, :score $score, :term $term, :score2 $score, ]); header(Location: score_list.php?msgok); exit;hash_equals是比较两个字符串是否相同的安全函数普通在比较哈希时理论上存在时序攻击风险这里直接养成好习惯。(int)和(float)强转是为了让外部输入进入数值上下文字符串拼接注入在强转后彻底失效。执行成功同样用header跳转并exit避免刷新页面时重复提交。4.4 查询成绩列表fetchAll 与输出转义不能省列表页的数据查询用fetchAll(PDO::FETCH_ASSOC)拿关联数组最方便新版本的 PHP 也支持把结果直接映射到对象但成绩系统这种简单列表没有必要引入额外抽象。取回数组后模板输出时所有动态字段都要过一遍htmlspecialchars否则学生名字里带script切片时浏览器会执行一段本不该执行的脚本?php $stmt $pdo-prepare( SELECT s.student_no, s.name, c.course_name, sc.score, sc.term FROM score sc JOIN student s ON s.id sc.student_id JOIN course c ON c.id sc.course_id WHERE sc.term :term ORDER BY sc.score DESC ); $stmt-execute([:term $term]); $rows $stmt-fetchAll(PDO::FETCH_ASSOC); ? table ?php foreach ($rows as $row): ? tr td? htmlspecialchars($row[student_no], ENT_QUOTES) ?/td td? htmlspecialchars($row[name], ENT_QUOTES) ?/td td? htmlspecialchars($row[course_name], ENT_QUOTES) ?/td td? htmlspecialchars((string) $row[score], ENT_QUOTES) ?/td /tr ?php endforeach; ? /table这里的ENT_QUOTES表示单引号和双引号都转义比默认只转双引号更彻底。PHP 短标签?是?php echo的合法简写主流 PHP 版本都支持但如果你在 Windows 下用很老的 php.ini可能需要确认short_open_tag配置项新项目一般默认开启。4.5 错误处理开发环境开 display_errors生产环境写日志很多系统崩了页面全白原因只有一个PHP 把错误输出关掉了但日志也没开。开发环境可以在入口文件临时打开错误展示生产环境必须做到“用户看到友好提示错误进日志”?php // config.php 或入口文件按环境切换 if (defined(APP_DEBUG) APP_DEBUG true) { ini_set(display_errors, 1); error_reporting(E_ALL); } else { ini_set(display_errors, 0); ini_set(log_errors, 1); ini_set(error_log, __DIR__ . /logs/php-error.log); error_reporting(E_ALL ~E_DEPRECATED); }E_ALL ~E_DEPRECATED的含义是报告所有错误但忽略弃用级警告老项目里几乎必然有一堆 deprecated 提醒生产环境把它们写进日志就行不显示给用户。error_log路径要保证目录存在且可写否则日志写不进去后续排查问题时会非常痛苦。5. 成绩统计报表、CSV 导出与源码安全自检功能跑通后最后一步是把它变成能交出去、能演示、能扛住查源码的版本。这一章全是实操类收尾技巧从统计 SQL 到导出再到排查后门按顺序做一遍就能把系统打磨得接近真实项目状态。5.1 分数段统计一条 CASE WHEN 语句成绩报告单上最常出现的需求是优、良、中、及格、不及格五档统计SQL 聚合比 PHP 循环逐行判断快得多SELECT term, course_id, COUNT(*) AS total_count, SUM(CASE WHEN score 90 THEN 1 ELSE 0 END) AS excellent_count, SUM(CASE WHEN score 60 AND score 90 THEN 1 ELSE 0 END) AS pass_count, SUM(CASE WHEN score 60 THEN 1 ELSE 0 END) AS fail_count, AVG(score) AS avg_score FROM score WHERE term :term GROUP BY term, course_id;SUM(CASE WHEN ... THEN 1 ELSE 0 END)是标准 SQL 的计数技巧比COUNT(IF(...))可读性更好而且不依赖 MySQL 私有语法。AVG(score)返回的是十进制数PHP 端渲染时用number_format控制显示的小数位数避免出现 84.666666666667 这种让学生家长困惑的数字。5.2 Excel 能直接打开的中文 CSV 导出导出功能不用引第三方库PHP 内置fputcsv就能输出。但 Windows 上的 Excel 打开 UTF-8 CSV 时会乱码需要在文件开头输出 UTF-8 BOM?php header(Content-Type: text/csv; charsetUTF-8); header(Content-Disposition: attachment; filenamescore_export_ . date(Ymd) . .csv); $output fopen(php://output, w); fwrite($output, \xEF\xBB\xBF); // UTF-8 BOM fputcsv($output, [学号, 姓名, 课程, 成绩, 学期]); foreach ($rows as $row) { fputcsv($output, [ $row[student_no], $row[name], $row[course_name], $row[score], $row[term], ]); } fclose($output); exit;Content-Disposition指定下载文件名date(Ymd)让每次导出文件不重名方便追溯。fputcsv会自动处理逗号、引号、换行等特殊字符比自己用implode(,)拼接要可靠得多。如果学校老师反馈“分数是 0 的导不出来”优先检查数据源 SQL 里是否加了多余过滤条件而不是 CSV 生成逻辑。5.3 源码级安全自检重点看上传目录和危险函数系统上架或交作业前把项目目录扫一遍。第一步是查危险函数调用第二步是检查上传目录是否可以直接执行 PHP。打开终端执行grep -rn eval(\|assert(\|system(\|shell_exec(\|passthru(\|exec( --include*.php .这条命令在当前目录递归搜索所有 PHP 文件里常见危险函数。eval和assert可以执行任意代码system、shell_exec、passthru、exec可以执行系统命令。成绩系统正常业务里完全用不到这些函数只要搜到就要逐个确认。第二步看上传目录如果uploads/在 Web 根目录下并且允许上传 PHP 文件或允许上传图片但服务器把文件当 PHP 解析那这就是典型的“一句话木马 php 文件上传”依赖路径。防御做法是在上传目录放一个.user.iniphp_flag engine offApache 下用php_flag engine off直接关闭该目录的 PHP 解析Nginx 下则要在location里禁止执行 PHP并给上传目录设置location ~ \.(php|php5)$ { deny all; }。最后检查一下 ZIP 里有没有自带uploads/目录但里面躺着陌生.php文件有就直接删掉再查一遍数据库里有没有多余的管理员账号。收尾命令可以作为每次交付前的固定自检流程养成习惯后这类源码型项目基本不会出大问题。本文还有配套的精品资源点击获取 PHP学生成绩管理系统开发实战：从环境搭建到安全自检
简介这套PHP学生成绩管理系统是一份面向PHP学习者和Web开发初学者的完整源码项目。系统基于PHPMySQL搭建结合Bootstrap框架实现响应式界面覆盖学生信息管理、成绩记录的增删改查支持按学生ID、姓名或成绩范围进行检索并采用PDO预处理语句防止SQL注入代码结构上体现了MVC分层思想便于二次开发与维护。压缩包共112个文件包括39个PHP业务文件、17个CSS样式文件、10个JS交互脚本、10个HTML页面以及1个SQL数据库脚本同时包含多种字体与图标资源整体压缩后约1.21MB目录分类清晰能够快速定位前端样式、后端逻辑和数据库初始化代码。目前已有1090人学习下载。通过运行和修改这份项目读者能完整掌握PHP操作MySQL的增删改查流程、Bootstrap组件在管理后台中的实际用法并积累课程设计或实际项目中的排错思路与二次开发经验是一套适合动手实操、复习Web开发全流程的优质参考资料。1. 学生成绩管理系统这个 ZIP 里到底装的什么收到PHP学生成绩管理系统.zip这样的压缩包第一反应往往是无脑解压然后双击 index.php 开始试。但凡是动手跑过三个以上这类课设项目的工程师都清楚成绩管理系统是 PHP 里最典型的闭环用户认证、权限控制、增删改查、数据统计、报表导出、文件上传全占了。任何一个环节处理不干净项目就停留在“能跑”而不是“能用”。这篇文不替某个具体源码背书只按一线通常做法给你一套可落地的顺序先拆分功能模块再把本地环境跑通建好成绩表结构然后写登录与成绩读写逻辑最后收在统计导出和安全性自检上。新入行的人照着装上就能调试干了几年的人可以重点关注鉴权设计与上传边界处理。项目本身不大但坑全在细节里。2. 本地环境搭建Nginx、PHP-FPM 与内置服务器怎么选解压后先别急着开 IDE先观察项目根目录。常见的学生成绩管理系统至少会有admin/、student/、includes/、config/、SQL/这样的结构config 里写数据库账号SQL 目录里放着建库脚本。如果你拿到的 ZIP 里没有 SQL 文件说明作者默认你会自己建库后面所有表结构都要手工补这一点先确认清楚能省下大量排查时间。2.1 解压后先执行两条命令确认目录和运行要求Linux 或 macOS 下直接用 tree 看结构Windows 下可以用tree /F不过输出会带中文乱码建议用 Git Bash 或者 VS Code 的文件夹树更直观。tree -L 2 -I vendor|node_modules . head -50 includes/config.php-L 2表示只展开两层目录-I是排除不需要关心的目录避免输出刷屏。head看配置文件的头部重点确认数据库常量名是DB_HOST、DB_PORT、DB_USER、DB_PASS还是直接裸写全局变量。老项目很喜欢在 config 里用$conn mysqli_connect(...)那么后面所有查询代码都是面向过程风格改成 PDO 的成本就会高很多。你要根据这个决定后面是补兼容层还是直接重写数据访问部分。2.2 最快跑通方式PHP 内置服务器Windows 10 或 Windows 11 上还没装 PHP 的话先下载 PHP 8.x 的 Windows 二进制包解压后把php.exe所在目录加进 PATH。然后进入项目目录启用内置服务器验证项目能不能启动php -S 127.0.0.1:8080 -t public-S指定监听地址和端口-t指定 Web 根目录。这里故意用127.0.0.1而不是0.0.0.0内置服务器只用于本地调试暴露到局域网会有被扫描的风险。启动后如果页面白屏先执行php -m检查pdo_mysql、mbstring、openssl这些扩展是否已启用成绩系统最常见的白屏原因就是缺pdo_mysql。2.3 Nginx 配置里必须写对的三处参数本机最终还是要切到 Nginx 上跑原因是内置服务器是单线程的打开两个页面同时查询就会互相阻塞演示给老师看问题不大但你自己做并发测试时会得到错误结论。下面是一个针对此类项目的 Nginx 站点配置server { listen 80; server_name score.local; root /var/www/score/public; index index.php; location / { try_files $uri $uri/ /index.php?$query_string; } location ~ \.php$ { include fastcgi_params; fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name; fastcgi_pass 127.0.0.1:9000; } }try_files的作用是让不存在的路径回退到index.php单入口框架必须这样写。fastcgi_param SCRIPT_FILENAME指定实际执行的脚本路径写错了 Nginx 会一直报 404。fastcgi_pass 127.0.0.1:9000要和php-fpm的listen保持一致新版 PHP-FPM 默认可能监听在php-fpm.sock上那时这里的地址要改成对应 socket 路径。参数对应关系如下配置项常见取值用途try_files$uri $uri/ /index.php?$query_string伪静态与前端控制器分发fastcgi_param SCRIPT_FILENAME$document_root$fastcgi_script_name让 PHP-FPM 知道要执行哪个文件fastcgi_pass127.0.0.1:9000或unix:/run/php-fpm.sockPHP-FPM 监听地址2.4 PHP 版本兼容老项目在 PHP 8 上最常见的三处白屏老式成绩系统多为 PHP 5 时代产物直接跑在 PHP 8 上容易碰到致命错误。最常见的是mysql_*系列函数已移除必须换成mysqli或PDO其次是each()在 PHP 8.0 删除很多遍历代码会直接 Fatal Error还有create_function()被移除。排查思路是打开错误日志看第一条 Fatal error 指向哪个文件先修语法再谈业务逻辑。命令行下加-d display_errors1可以快速看到首个错误php -d display_errors1 -l admin/index.php-l只做语法检查不执行代码适合快速扫一遍整个项目的 PHP 文件是否都能通过解析。3. 学生成绩数据建模三张表、一个唯一索引、一条连表 SQL成绩系统的核心不是 PHP 代码而是表结构。很多初学者喜欢把学生、班级、科目、成绩全塞进一张大宽表里查询是方便了但改一个课程名要 UPDATE 几万行删除学生时还容易留下孤儿数据。正确的做法是从一开始就拆开把“谁、哪门课、考了多少分”这个三元组单独落一张表。下面这套结构是我做同类系统时默认采用的最小可用方案。3.1 三张表的字段设计和关系学生表保存学生基本信息课程表保存课程定义成绩表只保存关联和分数不冗余学生姓名和课程名。表名关键字段说明studentid,student_no,name,class_name,created_atstudent_no加唯一索引courseid,course_name,credit,teacher_id学分用 DECIMAL 避免浮点误差scoreid,student_id,course_id,score,term,created_at联合唯一索引防重复录入student_no虽然业务上唯一但还是建议用自增id作为主键。学号在转学、重编班时可能变化主键一旦被关联表引用改起来会牵连成绩数据。用自增主键后学号只做业务唯一约束该改就改不影响成绩表。3.2 建库建表脚本外键与字符集一次到位MySQL 8 下执行下面的 SQL字段类型和索引都按生产标准写CREATE DATABASE IF NOT EXISTS score_db DEFAULT CHARACTER SET utf8mb4 COLLATE utf8mb4_unicode_ci; USE score_db; CREATE TABLE student ( id BIGINT UNSIGNED AUTO_INCREMENT PRIMARY KEY, student_no VARCHAR(20) NOT NULL, name VARCHAR(50) NOT NULL, class_name VARCHAR(50) DEFAULT , created_at TIMESTAMP DEFAULT CURRENT_TIMESTAMP, UNIQUE KEY uk_student_no (student_no) ) ENGINEInnoDB; CREATE TABLE course ( id BIGINT UNSIGNED AUTO_INCREMENT PRIMARY KEY, course_name VARCHAR(100) NOT NULL, credit DECIMAL(3,1) DEFAULT 0.0 ) ENGINEInnoDB; CREATE TABLE score ( id BIGINT UNSIGNED AUTO_INCREMENT PRIMARY KEY, student_id BIGINT UNSIGNED NOT NULL, course_id BIGINT UNSIGNED NOT NULL, score DECIMAL(5,2) NOT NULL, term VARCHAR(20) NOT NULL, created_at TIMESTAMP DEFAULT CURRENT_TIMESTAMP, UNIQUE KEY uk_student_course_term (student_id, course_id, term), CONSTRAINT fk_score_student FOREIGN KEY (student_id) REFERENCES student(id) ON DELETE CASCADE, CONSTRAINT fk_score_course FOREIGN KEY (course_id) REFERENCES course(id) ON DELETE CASCADE ) ENGINEInnoDB;utf8mb4是必选项因为utf8mb3存不了 Emoji 和部分生僻字学生姓名里出现这类字符时写入会报错。DECIMAL(5,2)表示最大三位整数加两位小数成绩最高 100 分足够。外键ON DELETE CASCADE表示删除学生时对应成绩也删掉符合成绩管理系统直觉。但要注意如果未来需求改成“学生离校但成绩必须留档”这里就要改成ON DELETE RESTRICT把删除改为逻辑删除前端不显示但数据不丢。3.3 重复录入的坑联合唯一索引与 ON DUPLICATE KEY UPDATE成绩表最容易出的问题不是查不到数而是同一学生同一学期同一门课录了两次导致统计平均值翻倍。联合唯一索引uk_student_course_term从数据库层面拦住重复数据代码里再做一次“存在则更新不存在则插入”的幂等写入更妥当INSERT INTO score (student_id, course_id, score, term) VALUES (:sid, :course_id, :score, :term) ON DUPLICATE KEY UPDATE score VALUES(score);ON DUPLICATE KEY UPDATE是 MySQL 特有的语法当联合唯一索引冲突时执行更新而非报错。后面那个VALUES(score)在新版 MySQL 中已被标记为 deprecated更严谨的写法是直接用别名INSERT INTO ... VALUES (...) AS new ON DUPLICATE KEY UPDATE score new.score。但为了兼容 PHP 项目里常见的 MySQL 5.7老写法仍然可用注意这一点就行。3.4 查询视图JOIN 写清楚业务字段交给 SQL查询成绩列表时很多人喜欢在WHERE里拼两个表然后用逗号隐式连接不建议显式JOIN可读性和维护性都好得多SELECT s.student_no, s.name, c.course_name, sc.score, CASE WHEN sc.score 60 THEN 及格 ELSE 不及格 END AS result FROM score sc JOIN student s ON s.id sc.student_id JOIN course c ON c.id sc.course_id WHERE sc.term :term ORDER BY sc.score DESC;CASE WHEN把及格判断放进 SQLPHP 模板端就不需要再拆分数做逻辑拿到行数据后直接展示result字段就行。这样写的另一个好处是后面做导出报表时导出的 CSV 直接带“及格/不及格”列不用在 PHP 里二次处理减少导出和页面展示结果不一致的可能。4. 登录鉴权、成绩录入与查询PHP 代码怎么写才不会跑偏这章进入实际编码环节也是整个系统里最容易翻车的地方。大多数成绩系统源码的问题不是功能缺失而是登录逻辑形同虚设密码明文存在数据库、$_GET参数直接拼 SQL、上传文件不做类型校验。下面按角色权限、登录会话、成绩写入、错误处理四个层面各给一套能直接落地的写法。4.1 三种角色和最小权限矩阵学生成绩管理系统至少包含管理员、教师、学生三种角色。管理员负责建账号、开课程教师录成绩、看自己教的班学生只能查自己的成绩。权限矩阵最好在开发前就固定下来后面每个页面入口都要校验而不是等菜单做出来了再补。操作管理员教师学生学生账号管理增删改查只读无课程管理增删改查只读无成绩录入全部本人课程无成绩查询全部本人课程本人报表导出全部本人课程无最小权限的意思是页面菜单可以都渲染出来但后端入口必须单独判断角色。只隐藏前端按钮而不做后端校验是最常见的漏洞来源。直接访问admin/student_add.php就能操作那就是权限绕过。4.2 登录逻辑password_hash、Session 与会话固定攻击登录代码不要用 MD5 加盐这种自创方案PHP 自带password_hash和password_verify就是标准答案。密码字段长度在数据库里要设成VARCHAR(255)因为bcrypt的哈希结果不是定长 32 位很多老表结构只给VARCHAR(32)存进去直接报错或者被截断?php // login.php session_start(); $username trim($_POST[username] ?? ); $password $_POST[password] ?? ; if ($username || $password ) { exit(用户名和密码不能为空); } usleep(random_int(200000, 500000)); $stmt $pdo-prepare(SELECT id, username, role, password_hash FROM users WHERE username ? LIMIT 1); $stmt-execute([$username]); $user $stmt-fetch(PDO::FETCH_ASSOC); if (!$user || !password_verify($password, $user[password_hash])) { exit(用户名或密码错误); } session_regenerate_id(true); $_SESSION[uid] (int) $user[id]; $_SESSION[role] $user[role]; header(Location: dashboard.php); exit;usleep加 200 到 500 毫秒随机延迟目的是拉长暴力破解的单次请求周期成本极低但效果明显。session_regenerate_id(true)在登录成功后更换 Session ID防止 Session 固定攻击参数true表示删除旧 Session 文件。登录跳转用header(Location: ...)后必须exit否则后续代码可能继续执行出问题。4.3 成绩录入PDO 参数绑定、CSRF 校验成绩录入页面的核心动作在insert_score.php这里只写后端处理部分。使用 PDO 预处理语句后SQL 注入的入口基本被堵死但还没处理请求伪造问题所以表单里必须带 CSRF Token?php // insert_score.php session_start(); if (($_SESSION[role] ?? ) admin || ($_SESSION[role] ?? ) teacher) { // 有权限继续执行 } else { exit(无权操作); } if (!hash_equals($_SESSION[csrf_token], $_POST[csrf_token] ?? )) { exit(CSRF 校验失败请刷新页面重试); } $student_id (int) ($_POST[student_id] ?? 0); $course_id (int) ($_POST[course_id] ?? 0); $score (float) ($_POST[score] ?? 0); $term trim($_POST[term] ?? ); if ($student_id 0 || $course_id 0 || $term ) { exit(参数不完整); } $stmt $pdo-prepare( INSERT INTO score (student_id, course_id, score, term) VALUES (:sid, :cid, :score, :term) ON DUPLICATE KEY UPDATE score :score2 ); $stmt-execute([ :sid $student_id, :cid $course_id, :score $score, :term $term, :score2 $score, ]); header(Location: score_list.php?msgok); exit;hash_equals是比较两个字符串是否相同的安全函数普通在比较哈希时理论上存在时序攻击风险这里直接养成好习惯。(int)和(float)强转是为了让外部输入进入数值上下文字符串拼接注入在强转后彻底失效。执行成功同样用header跳转并exit避免刷新页面时重复提交。4.4 查询成绩列表fetchAll 与输出转义不能省列表页的数据查询用fetchAll(PDO::FETCH_ASSOC)拿关联数组最方便新版本的 PHP 也支持把结果直接映射到对象但成绩系统这种简单列表没有必要引入额外抽象。取回数组后模板输出时所有动态字段都要过一遍htmlspecialchars否则学生名字里带script切片时浏览器会执行一段本不该执行的脚本?php $stmt $pdo-prepare( SELECT s.student_no, s.name, c.course_name, sc.score, sc.term FROM score sc JOIN student s ON s.id sc.student_id JOIN course c ON c.id sc.course_id WHERE sc.term :term ORDER BY sc.score DESC ); $stmt-execute([:term $term]); $rows $stmt-fetchAll(PDO::FETCH_ASSOC); ? table ?php foreach ($rows as $row): ? tr td? htmlspecialchars($row[student_no], ENT_QUOTES) ?/td td? htmlspecialchars($row[name], ENT_QUOTES) ?/td td? htmlspecialchars($row[course_name], ENT_QUOTES) ?/td td? htmlspecialchars((string) $row[score], ENT_QUOTES) ?/td /tr ?php endforeach; ? /table这里的ENT_QUOTES表示单引号和双引号都转义比默认只转双引号更彻底。PHP 短标签?是?php echo的合法简写主流 PHP 版本都支持但如果你在 Windows 下用很老的 php.ini可能需要确认short_open_tag配置项新项目一般默认开启。4.5 错误处理开发环境开 display_errors生产环境写日志很多系统崩了页面全白原因只有一个PHP 把错误输出关掉了但日志也没开。开发环境可以在入口文件临时打开错误展示生产环境必须做到“用户看到友好提示错误进日志”?php // config.php 或入口文件按环境切换 if (defined(APP_DEBUG) APP_DEBUG true) { ini_set(display_errors, 1); error_reporting(E_ALL); } else { ini_set(display_errors, 0); ini_set(log_errors, 1); ini_set(error_log, __DIR__ . /logs/php-error.log); error_reporting(E_ALL ~E_DEPRECATED); }E_ALL ~E_DEPRECATED的含义是报告所有错误但忽略弃用级警告老项目里几乎必然有一堆 deprecated 提醒生产环境把它们写进日志就行不显示给用户。error_log路径要保证目录存在且可写否则日志写不进去后续排查问题时会非常痛苦。5. 成绩统计报表、CSV 导出与源码安全自检功能跑通后最后一步是把它变成能交出去、能演示、能扛住查源码的版本。这一章全是实操类收尾技巧从统计 SQL 到导出再到排查后门按顺序做一遍就能把系统打磨得接近真实项目状态。5.1 分数段统计一条 CASE WHEN 语句成绩报告单上最常出现的需求是优、良、中、及格、不及格五档统计SQL 聚合比 PHP 循环逐行判断快得多SELECT term, course_id, COUNT(*) AS total_count, SUM(CASE WHEN score 90 THEN 1 ELSE 0 END) AS excellent_count, SUM(CASE WHEN score 60 AND score 90 THEN 1 ELSE 0 END) AS pass_count, SUM(CASE WHEN score 60 THEN 1 ELSE 0 END) AS fail_count, AVG(score) AS avg_score FROM score WHERE term :term GROUP BY term, course_id;SUM(CASE WHEN ... THEN 1 ELSE 0 END)是标准 SQL 的计数技巧比COUNT(IF(...))可读性更好而且不依赖 MySQL 私有语法。AVG(score)返回的是十进制数PHP 端渲染时用number_format控制显示的小数位数避免出现 84.666666666667 这种让学生家长困惑的数字。5.2 Excel 能直接打开的中文 CSV 导出导出功能不用引第三方库PHP 内置fputcsv就能输出。但 Windows 上的 Excel 打开 UTF-8 CSV 时会乱码需要在文件开头输出 UTF-8 BOM?php header(Content-Type: text/csv; charsetUTF-8); header(Content-Disposition: attachment; filenamescore_export_ . date(Ymd) . .csv); $output fopen(php://output, w); fwrite($output, \xEF\xBB\xBF); // UTF-8 BOM fputcsv($output, [学号, 姓名, 课程, 成绩, 学期]); foreach ($rows as $row) { fputcsv($output, [ $row[student_no], $row[name], $row[course_name], $row[score], $row[term], ]); } fclose($output); exit;Content-Disposition指定下载文件名date(Ymd)让每次导出文件不重名方便追溯。fputcsv会自动处理逗号、引号、换行等特殊字符比自己用implode(,)拼接要可靠得多。如果学校老师反馈“分数是 0 的导不出来”优先检查数据源 SQL 里是否加了多余过滤条件而不是 CSV 生成逻辑。5.3 源码级安全自检重点看上传目录和危险函数系统上架或交作业前把项目目录扫一遍。第一步是查危险函数调用第二步是检查上传目录是否可以直接执行 PHP。打开终端执行grep -rn eval(\|assert(\|system(\|shell_exec(\|passthru(\|exec( --include*.php .这条命令在当前目录递归搜索所有 PHP 文件里常见危险函数。eval和assert可以执行任意代码system、shell_exec、passthru、exec可以执行系统命令。成绩系统正常业务里完全用不到这些函数只要搜到就要逐个确认。第二步看上传目录如果uploads/在 Web 根目录下并且允许上传 PHP 文件或允许上传图片但服务器把文件当 PHP 解析那这就是典型的“一句话木马 php 文件上传”依赖路径。防御做法是在上传目录放一个.user.iniphp_flag engine offApache 下用php_flag engine off直接关闭该目录的 PHP 解析Nginx 下则要在location里禁止执行 PHP并给上传目录设置location ~ \.(php|php5)$ { deny all; }。最后检查一下 ZIP 里有没有自带uploads/目录但里面躺着陌生.php文件有就直接删掉再查一遍数据库里有没有多余的管理员账号。收尾命令可以作为每次交付前的固定自检流程养成习惯后这类源码型项目基本不会出大问题。本文还有配套的精品资源点击获取