简介这套基于PHP的学校教务管理系统面向学校教务管理人员与PHP开发者涵盖学生、教师、成绩、文章、站点等管理模块支持多管理员权限控制、在线注册、在线报名与在线考试前台采用自适应组件可同时满足电脑端和手机端的使用。系统扩展性强支持多语言、多数据库、读写分离与高并发内置缓存机制且对SQL注入进行了防范代码注释完善便于二次开发。整个压缩包共1701个文件约12.83MB以675个PHP源码文件为核心配合HTML页面、JavaScript脚本、CSS样式以及GIF、PNG图片等素材构成完整的前后台功能、界面样式与交互逻辑。目前已有633人学习该资源适合用于教学实践、课程设计或毕业设计参考也可作为轻量级教务系统开发的研究样本尤其有助于理解多模块权限设计、在线考试流程及高可扩展架构的实现方式。1. 为什么 PHP 学校教务管理系统.zip 还会被反复下载大学机房里的旧服务器、课程设计选题列表、云盘里存放了十年的项目源代码这套东西几乎每年换一个名字重新出现。PHP 学校教务管理系统的架构并不复杂学生、教师、课程、选课、成绩五个实体外加排课与公告两个辅助模块PHP MySQL 就能跑通这也是同类 php 源码散落网络的主因。真正值得读的是代码里沉淀下来的老工程师套路怎么拆表、怎么防重复选课、怎么从 PHP 5 升到 PHP 7 之后兼容性不崩。做任何后台系统思路都与这套代码高度同构。下面按“表结构 → 核心功能 → 部署 → 安全加固”的顺序展开中途给出可直接抄的 SQL 与 PHP 片段。只交课程设计看第 2、3 章接手学校旧服务器重点看第 4、5 章。2. 先定表结构教务系统的数据模型与会话登录设计2.1 student / teacher / admin 分表为什么老源码偏爱这种设计下载下来的 zip 里八成是同一套建表模式student 表存学号、姓名、班级、专业teacher 表存职工号、所属学院admin 表存管理员账号三张表的密码字段分别做哈希。这种设计上手快查询“某个学生的选课记录”就是 JOIN 最少两张表业务逻辑一眼能看懂。缺点也很直接登录时要写三段几乎一样的查询先查 student查不到再查 teacher最后一层兜底 admin未来要想加进辅导员、教务秘书这种新角色又得再补一张表。角色登录入口业务数据表页面入口学生login.php 角色切到 studentstudent学号、姓名、专业、班级选课、查成绩教师login.php 角色切到 teacherteacher工号、姓名、学院排课、录成绩管理员admin.php 独立登录admin账号、权限级别全部管理菜单我一般不会推翻三表设计而是在这三张表之外补一张 account 表统一存 login_name、pwd_hash 和 role三张业务表各加一个 account_id 字段做外键关联CREATE TABLE account ( id INT PRIMARY KEY AUTO_INCREMENT, login_name VARCHAR(32) UNIQUE NOT NULL, pwd_hash VARCHAR(60) NOT NULL, role ENUM(admin,teacher,student) NOT NULL, created_at DATETIME DEFAULT CURRENT_TIMESTAMP ) ENGINEInnoDB DEFAULT CHARSETutf8mb4; ALTER TABLE student ADD COLUMN account_id INT;参数说明pwd_hash 长度 60 是给 password_hash() 算法的输出预留的ENGINE 必须写成 InnoDB老建表语句里常见的 MyISAM 不支持事务和行锁后面选课并发控制完全用不上。charset 用 utf8mb4 而不是旧的 utf8否则插入“陈”“龚”这类生僻姓氏或 Emoji 时的“Incorrect string value”错会一直烦你库、表、连接串三处要同时改掉。2.2 PHP 实现登录密码校验、会话与角色跳转老代码最典型的写法是一行 mysql_query 拼接用户名和 MD5 密码同一行里同时踩了 SQL 注入和弱口令加密两个坑。现在换到 PHP 7 以上mysql_* 函数没了改成 PDO 预编译加 password_hash / password_verify 才是省事方案?php // login_action.php session_start(); $pdo new PDO( mysql:host127.0.0.1;dbnameedu;charsetutf8mb4, edu_user, password, [PDO::ATTR_ERRMODE PDO::ERRMODE_EXCEPTION] ); $name trim($_POST[login_name] ?? ); $pass $_POST[password] ?? ; $stmt $pdo-prepare(SELECT id, pwd_hash, role FROM account WHERE login_name ? LIMIT 1); $stmt-execute([$name]); $row $stmt-fetch(PDO::FETCH_ASSOC); if (!$row || !password_verify($pass, $row[pwd_hash])) { exit(账号或密码错误); } $_SESSION[uid] $row[id]; $_SESSION[role] $row[role]; $_SESSION[name] $row[login_name]; $roles [ student student_panel.php, teacher teacher_panel.php, admin admin_panel.php, ]; header(Location: . ($roles[$row[role]] ?? index.php)); exit;逻辑说明查询条件用占位符数据库端把 login_name 当字符串参数处理不会拼进 SQL 片段账号不存在和密码错误统一返回同一句话避免通过提示差异枚举合法用户名。password_verify 只认 password_hash 产出的哈希老系统里的 MD5 密码要写一个迁移脚本登录时先试 password_verify失败再比旧 MD5命中后用 new_hash password_hash($old_md5, PASSWORD_DEFAULT) 回写用户不用感知。session 有两个隐藏坑。第一session_start() 之前不能有任何 HTML 或 BOM 输出否则报 headers already sent重定向全部失效。第二后台页只判断 $_SESSION[uid] 存在远远不够学生登录后手动访问 admin.php很多老 zip 就直接放行了需要在每个管理页入口加一行角色校验if (($_SESSION[role] ?? ) ! admin) { http_response_code(403); exit(no permission); }3. 用 PHP 实现选课、成绩录入与查询的三个可复现代码段3.1 选课接口事务加行锁把重复选课和超选拦在数据库层选课是最容易出并发问题的地方。答辩演示时一个学生随手点一下没问题但真实环境里学生开两个浏览器标签同时提交两个请求先后查出“当前没有选课记录”再各插一条于是出现重复选课。课程容量检查也常见先查后写满员了还能继续挤进去。防重手段作用粒度拦截点(stu_id, course_id) 唯一索引数据库表级兜底拦截一切重复插入SELECT ... FOR UPDATEInnoDB 行级锁串行化并发事务业务层预查询应用层给用户友好错误提示三种手段不互相替代常见做法是同时上。具体实现如下?php // enroll_action.php $pdo-beginTransaction(); try { // 1. 锁该学生该选课记录没有则插入有则提示 $stmt $pdo-prepare( SELECT id FROM enroll WHERE stu_id ? AND course_id ? FOR UPDATE ); $stmt-execute([$stuId, $courseId]); if ($stmt-fetch()) { throw new RuntimeException(你已选过该课程); } // 2. 锁课程容量避免两个请求同时读到同一剩余名额 $course $pdo-prepare( SELECT capacity, selected FROM course WHERE id ? FOR UPDATE ); $course-execute([$courseId]); $c $course-fetch(PDO::FETCH_ASSOC); if (!$c || $c[selected] $c[capacity]) { throw new RuntimeException(课程不存在或已满员); } // 3. 插入选课记录并原子更新已选人数 $pdo-prepare( INSERT INTO enroll (stu_id, course_id, created_at) VALUES (?, ?, NOW()) )-execute([$stuId, $courseId]); $pdo-prepare( UPDATE course SET selected selected 1 WHERE id ? )-execute([$courseId]); $pdo-commit(); } catch (Throwable $e) { $pdo-rollBack(); exit($e-getMessage()); }参数说明FOR UPDATE 是 InnoDB 的行级锁语法事务提交或回滚时释放两个事务同时进来时后者会阻塞等待MyISAM 不认这个锁所以建表语句必须明确 ENGINEInnoDB。enroll 表上再补一个 UNIQUE KEY即便业务层漏判数据库也会直接拒绝重复插入。3.2 成绩录入批量 upsert 与 JSON 数组对象返回教师端录成绩是逐班操作一批几十名学生。老做法是 foreach 循环逐条 UPDATE网络往返多而且某个学生成绩格式写错时前面已提交的数据和后面的状态不一致很难回滚。更可靠的做法是前端一次把整个班成绩以 JSON 数组 POST 上来后端走一次 INSERT ... ON DUPLICATE KEY UPDATE所有数据在一条语句里完成。?php // grade_save.php $rows json_decode(file_get_contents(php://input), true); if (!is_array($rows) || count($rows) 0) { http_response_code(400); exit(json_encode([code 400, msg grade list empty])); } $sql INSERT INTO score (stu_id, course_id, value, updated_at) VALUES (?, ?, ?, NOW()) ON DUPLICATE KEY UPDATE value VALUES(value), updated_at NOW(); $stmt $pdo-prepare($sql); foreach ($rows as $r) { $stmt-execute([ (int)($r[stu_id] ?? 0), (int)($r[course_id] ?? 0), (float)($r[value] ?? 0), ]); } header(Content-Type: application/json; charsetutf-8); echo json_encode([code 0, msg saved, count count($rows)]);逻辑说明score 表主键必须是 (stu_id, course_id) 或单独建唯一索引ON DUPLICATE KEY UPDATE 才有触发点。输入用的是 php://input 流而非 $_POST兼容前端 fetch 和 axios 提交的 JSON 正文。每个字段做 (int)、(float) 强转是双保险PDO 预编译已经防注入类型约束再挡掉字符串型的脏数据。返回体是 JSON 对象前端拿到后直接判断 code 字段这就是“PHP 接口数组对象”这套最常见的落地姿势。如果还要接 Excel 批量录入把导入文件先解析成同样结构的数组再喂给这个函数即可不需要另写一套写入逻辑。3.3 排课查询多表 JOIN 加分页带条件的列表页标准写法排课页面要显示“哪个教师、哪个时间段、教哪个专业哪门课”数据分散在 course、teacher、schedule、specialty 四张表。这类列表页的正确 SQL 是 JOIN 后统一排序和分页?php // schedule_list.php $page max(1, (int)($_GET[page] ?? 1)); $pageSize 20; $offset ($page - 1) * $pageSize; $sql SELECT sch.id, c.name AS course_name, t.real_name AS teacher_name, sp.name AS specialty_name, sch.weekday, sch.period FROM schedule sch JOIN course c ON sch.course_id c.id JOIN teacher t ON sch.teacher_id t.id JOIN specialty sp ON sch.specialty_id sp.id WHERE sch.semester ? ORDER BY sch.weekday, sch.period LIMIT ? OFFSET ?; $stmt $pdo-prepare($sql); $stmt-bindValue(1, 2025s, PDO::PARAM_STR); $stmt-bindValue(2, $pageSize, PDO::PARAM_INT); $stmt-bindValue(3, $offset, PDO::PARAM_INT); $stmt-execute();参数说明LIMIT 和 OFFSET 两个占位符必须 bindValue 并显式指定 PDO::PARAM_INT否则 PDO 默认按字符串处理老版本 MySQL 能容忍 LIMIT 20MariaDB 10.6 之后部分模式下直接报语法错误。JOIN 的驱动表不用手工指定MySQL 优化器会按索引和行数决定只要确认 course.id、teacher.id、specialty.id 有主键索引即可。业务上另一件必须做的事是排课冲突约束同一教室同一时间只能排一门课直接用唯一索引 (classroom_id, weekday, period) 兜底比在代码里查一遍再判断可靠得多。4. Windows 环境部署与 PHP 版本兼容从 zip 下载到跑通4.1 Nginx PHP-FPM 在 Windows 上的最小配置这类 zip 解压后通常直接就能跑但前提是运行环境对路。Windows 上用 phpStudy 这类集成环境点击启动即可自己手搭 Nginx 时最容易踩的坑是 fastcgi 配置写错。下面是一份能直接用的最小 server 块server { listen 80; server_name edu.local; root D:/www/edu; index index.php index.html; location ~ \.php$ { fastcgi_pass 127.0.0.1:9000; fastcgi_index index.php; fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name; include fastcgi_params; } }配置说明fastcgi_pass 指向 PHP-CGI 监听端口phpStudy 默认是 9000新版 PHP 8 内置的 CGI 端口可能是 9001要在 PHP 配置文件里确认一致。项目入口如果是 admin.php、login.php 这类静态别名不需要 rewrite只有入口统一为 index.php?actxxx 的单入口架构才考虑 location / { try_files $uri $uri/ /index.php?$query_string; }。4.2 PHP 5 迁移到 PHP 7/8 的兼容性改造早期教务源码大量依赖 mysql_* 系列函数PHP 7 删掉后页面直接白屏。常见做法是先全局搜索把报错函数集中替换掉PHP 5 老写法PHP 7 替代注意事项mysql_connect / mysql_queryPDO 或 MySQLiPDO 统一异常处理推荐优先mysql_real_escape_string预编译占位符不必再手动转义each() 遍历数组foreach ($arr as $k $v)PHP 8 已彻底移除create_function()匿名函数 fn()PHP 8 已移除list($a, $b) each($arr)foreach 解构写法差异最大替换时不要只换函数名连接方式也要跟着改。PDO 连接可以统一封装在 db.php 里其他页面直接引用迁移后顺手把错误模式设为 ERRMODE_EXCEPTIONSQL 写错时报错信息会直接可见排错成本比原来低很多。4.3 php 错误处理白屏和 500 的定位顺序白屏时先看 PHP 错误日志phpStudy 的日志路径一般在 php_error.log手搭环境则看 php.ini 里的 error_log 配置。开发环境可以先开启显示?php // 放在入口文件最顶部定位完成后再关掉 error_reporting(E_ALL); ini_set(display_errors, 1);确认逻辑第一步看浏览器直接访问 php 文件是否返回 500第二步看 Nginx error.logfastcgi 连接不上会有 connect() failed 记录第三步确认入口文件编码是无 BOM 的 UTF-8带 BOM 会导致 header 输出报错。线上环境再回来把这个配置关掉转成日志落盘避免把 SQL 语句和绝对路径暴露出去。5. 这套 zip 必查的 3 个安全点上传白名单、伪协议与越权5.1 上传模块只靠前端校验等于没校验老教务源码里头像上传、课件上传是重灾区。很多代码只检查了文件扩展名后端不再校验于是上传入口成了 php 上传漏洞的高发区。修复方案是白名单加改名加目录隔离?php $allowed [jpg, png, gif, webp]; $ext strtolower(pathinfo($_FILES[file][name], PATHINFO_EXTENSION)); if (!in_array($ext, $allowed)) { exit(bad extension); } $newName bin2hex(random_bytes(8)) . . . $ext; move_uploaded_file($_FILES[file][tmp_name], UPLOAD_DIR . $newName);逻辑说明白名单之外的一切扩展名直接拒绝用 random_bytes 生成随机文件名用户无法预知文件地址上传目录放在 web 根目录之外或通过 Nginx 配置禁止执行 PHP即使文件内容被拼装过也没有执行入口。5.2 路由 include 与 php 伪协议有些老代码喜欢用 include(pages/ . $_GET[p] . .php) 做页面切换。这个写法配合 php 伪协议可以绕过扩展名限制读取敏感文件比如 php://filter 读源码。修复方式是把动态参数改成白名单路由?php $pages [ list pages/schedule_list.php, add pages/schedule_add.php, edit pages/schedule_edit.php, ]; $key $_GET[p] ?? list; if (!isset($pages[$key])) { http_response_code(404); exit(page not found); } include $pages[$key];5.3 用三条 curl 验证部署链路部署完成后几行命令就能确认基础链路是否健康不用等学生在浏览器里试出来curl -i http://127.0.0.1/login.php | head -n 20 curl -o /dev/null -s -w %{http_code} http://127.0.0.1/index.php curl -X POST http://127.0.0.1/grade_save.php -d {} -H Content-Type: application/json第一条确认响应头没有 PHP Warning 夹杂第二条看到 200 就能确定 PHP 处理链活着第三条返回 400 且提示 grade list empty 说明 JSON 入口和 PDO 连接都已生效。头部若有 X-Powered-By 泄露版本信息在 php.ini 里加上 expose_php Off 顺手关掉。本文还有配套的精品资源点击获取 PHP学校教务管理系统源码解析：从表结构到安全加固的实践
简介这套基于PHP的学校教务管理系统面向学校教务管理人员与PHP开发者涵盖学生、教师、成绩、文章、站点等管理模块支持多管理员权限控制、在线注册、在线报名与在线考试前台采用自适应组件可同时满足电脑端和手机端的使用。系统扩展性强支持多语言、多数据库、读写分离与高并发内置缓存机制且对SQL注入进行了防范代码注释完善便于二次开发。整个压缩包共1701个文件约12.83MB以675个PHP源码文件为核心配合HTML页面、JavaScript脚本、CSS样式以及GIF、PNG图片等素材构成完整的前后台功能、界面样式与交互逻辑。目前已有633人学习该资源适合用于教学实践、课程设计或毕业设计参考也可作为轻量级教务系统开发的研究样本尤其有助于理解多模块权限设计、在线考试流程及高可扩展架构的实现方式。1. 为什么 PHP 学校教务管理系统.zip 还会被反复下载大学机房里的旧服务器、课程设计选题列表、云盘里存放了十年的项目源代码这套东西几乎每年换一个名字重新出现。PHP 学校教务管理系统的架构并不复杂学生、教师、课程、选课、成绩五个实体外加排课与公告两个辅助模块PHP MySQL 就能跑通这也是同类 php 源码散落网络的主因。真正值得读的是代码里沉淀下来的老工程师套路怎么拆表、怎么防重复选课、怎么从 PHP 5 升到 PHP 7 之后兼容性不崩。做任何后台系统思路都与这套代码高度同构。下面按“表结构 → 核心功能 → 部署 → 安全加固”的顺序展开中途给出可直接抄的 SQL 与 PHP 片段。只交课程设计看第 2、3 章接手学校旧服务器重点看第 4、5 章。2. 先定表结构教务系统的数据模型与会话登录设计2.1 student / teacher / admin 分表为什么老源码偏爱这种设计下载下来的 zip 里八成是同一套建表模式student 表存学号、姓名、班级、专业teacher 表存职工号、所属学院admin 表存管理员账号三张表的密码字段分别做哈希。这种设计上手快查询“某个学生的选课记录”就是 JOIN 最少两张表业务逻辑一眼能看懂。缺点也很直接登录时要写三段几乎一样的查询先查 student查不到再查 teacher最后一层兜底 admin未来要想加进辅导员、教务秘书这种新角色又得再补一张表。角色登录入口业务数据表页面入口学生login.php 角色切到 studentstudent学号、姓名、专业、班级选课、查成绩教师login.php 角色切到 teacherteacher工号、姓名、学院排课、录成绩管理员admin.php 独立登录admin账号、权限级别全部管理菜单我一般不会推翻三表设计而是在这三张表之外补一张 account 表统一存 login_name、pwd_hash 和 role三张业务表各加一个 account_id 字段做外键关联CREATE TABLE account ( id INT PRIMARY KEY AUTO_INCREMENT, login_name VARCHAR(32) UNIQUE NOT NULL, pwd_hash VARCHAR(60) NOT NULL, role ENUM(admin,teacher,student) NOT NULL, created_at DATETIME DEFAULT CURRENT_TIMESTAMP ) ENGINEInnoDB DEFAULT CHARSETutf8mb4; ALTER TABLE student ADD COLUMN account_id INT;参数说明pwd_hash 长度 60 是给 password_hash() 算法的输出预留的ENGINE 必须写成 InnoDB老建表语句里常见的 MyISAM 不支持事务和行锁后面选课并发控制完全用不上。charset 用 utf8mb4 而不是旧的 utf8否则插入“陈”“龚”这类生僻姓氏或 Emoji 时的“Incorrect string value”错会一直烦你库、表、连接串三处要同时改掉。2.2 PHP 实现登录密码校验、会话与角色跳转老代码最典型的写法是一行 mysql_query 拼接用户名和 MD5 密码同一行里同时踩了 SQL 注入和弱口令加密两个坑。现在换到 PHP 7 以上mysql_* 函数没了改成 PDO 预编译加 password_hash / password_verify 才是省事方案?php // login_action.php session_start(); $pdo new PDO( mysql:host127.0.0.1;dbnameedu;charsetutf8mb4, edu_user, password, [PDO::ATTR_ERRMODE PDO::ERRMODE_EXCEPTION] ); $name trim($_POST[login_name] ?? ); $pass $_POST[password] ?? ; $stmt $pdo-prepare(SELECT id, pwd_hash, role FROM account WHERE login_name ? LIMIT 1); $stmt-execute([$name]); $row $stmt-fetch(PDO::FETCH_ASSOC); if (!$row || !password_verify($pass, $row[pwd_hash])) { exit(账号或密码错误); } $_SESSION[uid] $row[id]; $_SESSION[role] $row[role]; $_SESSION[name] $row[login_name]; $roles [ student student_panel.php, teacher teacher_panel.php, admin admin_panel.php, ]; header(Location: . ($roles[$row[role]] ?? index.php)); exit;逻辑说明查询条件用占位符数据库端把 login_name 当字符串参数处理不会拼进 SQL 片段账号不存在和密码错误统一返回同一句话避免通过提示差异枚举合法用户名。password_verify 只认 password_hash 产出的哈希老系统里的 MD5 密码要写一个迁移脚本登录时先试 password_verify失败再比旧 MD5命中后用 new_hash password_hash($old_md5, PASSWORD_DEFAULT) 回写用户不用感知。session 有两个隐藏坑。第一session_start() 之前不能有任何 HTML 或 BOM 输出否则报 headers already sent重定向全部失效。第二后台页只判断 $_SESSION[uid] 存在远远不够学生登录后手动访问 admin.php很多老 zip 就直接放行了需要在每个管理页入口加一行角色校验if (($_SESSION[role] ?? ) ! admin) { http_response_code(403); exit(no permission); }3. 用 PHP 实现选课、成绩录入与查询的三个可复现代码段3.1 选课接口事务加行锁把重复选课和超选拦在数据库层选课是最容易出并发问题的地方。答辩演示时一个学生随手点一下没问题但真实环境里学生开两个浏览器标签同时提交两个请求先后查出“当前没有选课记录”再各插一条于是出现重复选课。课程容量检查也常见先查后写满员了还能继续挤进去。防重手段作用粒度拦截点(stu_id, course_id) 唯一索引数据库表级兜底拦截一切重复插入SELECT ... FOR UPDATEInnoDB 行级锁串行化并发事务业务层预查询应用层给用户友好错误提示三种手段不互相替代常见做法是同时上。具体实现如下?php // enroll_action.php $pdo-beginTransaction(); try { // 1. 锁该学生该选课记录没有则插入有则提示 $stmt $pdo-prepare( SELECT id FROM enroll WHERE stu_id ? AND course_id ? FOR UPDATE ); $stmt-execute([$stuId, $courseId]); if ($stmt-fetch()) { throw new RuntimeException(你已选过该课程); } // 2. 锁课程容量避免两个请求同时读到同一剩余名额 $course $pdo-prepare( SELECT capacity, selected FROM course WHERE id ? FOR UPDATE ); $course-execute([$courseId]); $c $course-fetch(PDO::FETCH_ASSOC); if (!$c || $c[selected] $c[capacity]) { throw new RuntimeException(课程不存在或已满员); } // 3. 插入选课记录并原子更新已选人数 $pdo-prepare( INSERT INTO enroll (stu_id, course_id, created_at) VALUES (?, ?, NOW()) )-execute([$stuId, $courseId]); $pdo-prepare( UPDATE course SET selected selected 1 WHERE id ? )-execute([$courseId]); $pdo-commit(); } catch (Throwable $e) { $pdo-rollBack(); exit($e-getMessage()); }参数说明FOR UPDATE 是 InnoDB 的行级锁语法事务提交或回滚时释放两个事务同时进来时后者会阻塞等待MyISAM 不认这个锁所以建表语句必须明确 ENGINEInnoDB。enroll 表上再补一个 UNIQUE KEY即便业务层漏判数据库也会直接拒绝重复插入。3.2 成绩录入批量 upsert 与 JSON 数组对象返回教师端录成绩是逐班操作一批几十名学生。老做法是 foreach 循环逐条 UPDATE网络往返多而且某个学生成绩格式写错时前面已提交的数据和后面的状态不一致很难回滚。更可靠的做法是前端一次把整个班成绩以 JSON 数组 POST 上来后端走一次 INSERT ... ON DUPLICATE KEY UPDATE所有数据在一条语句里完成。?php // grade_save.php $rows json_decode(file_get_contents(php://input), true); if (!is_array($rows) || count($rows) 0) { http_response_code(400); exit(json_encode([code 400, msg grade list empty])); } $sql INSERT INTO score (stu_id, course_id, value, updated_at) VALUES (?, ?, ?, NOW()) ON DUPLICATE KEY UPDATE value VALUES(value), updated_at NOW(); $stmt $pdo-prepare($sql); foreach ($rows as $r) { $stmt-execute([ (int)($r[stu_id] ?? 0), (int)($r[course_id] ?? 0), (float)($r[value] ?? 0), ]); } header(Content-Type: application/json; charsetutf-8); echo json_encode([code 0, msg saved, count count($rows)]);逻辑说明score 表主键必须是 (stu_id, course_id) 或单独建唯一索引ON DUPLICATE KEY UPDATE 才有触发点。输入用的是 php://input 流而非 $_POST兼容前端 fetch 和 axios 提交的 JSON 正文。每个字段做 (int)、(float) 强转是双保险PDO 预编译已经防注入类型约束再挡掉字符串型的脏数据。返回体是 JSON 对象前端拿到后直接判断 code 字段这就是“PHP 接口数组对象”这套最常见的落地姿势。如果还要接 Excel 批量录入把导入文件先解析成同样结构的数组再喂给这个函数即可不需要另写一套写入逻辑。3.3 排课查询多表 JOIN 加分页带条件的列表页标准写法排课页面要显示“哪个教师、哪个时间段、教哪个专业哪门课”数据分散在 course、teacher、schedule、specialty 四张表。这类列表页的正确 SQL 是 JOIN 后统一排序和分页?php // schedule_list.php $page max(1, (int)($_GET[page] ?? 1)); $pageSize 20; $offset ($page - 1) * $pageSize; $sql SELECT sch.id, c.name AS course_name, t.real_name AS teacher_name, sp.name AS specialty_name, sch.weekday, sch.period FROM schedule sch JOIN course c ON sch.course_id c.id JOIN teacher t ON sch.teacher_id t.id JOIN specialty sp ON sch.specialty_id sp.id WHERE sch.semester ? ORDER BY sch.weekday, sch.period LIMIT ? OFFSET ?; $stmt $pdo-prepare($sql); $stmt-bindValue(1, 2025s, PDO::PARAM_STR); $stmt-bindValue(2, $pageSize, PDO::PARAM_INT); $stmt-bindValue(3, $offset, PDO::PARAM_INT); $stmt-execute();参数说明LIMIT 和 OFFSET 两个占位符必须 bindValue 并显式指定 PDO::PARAM_INT否则 PDO 默认按字符串处理老版本 MySQL 能容忍 LIMIT 20MariaDB 10.6 之后部分模式下直接报语法错误。JOIN 的驱动表不用手工指定MySQL 优化器会按索引和行数决定只要确认 course.id、teacher.id、specialty.id 有主键索引即可。业务上另一件必须做的事是排课冲突约束同一教室同一时间只能排一门课直接用唯一索引 (classroom_id, weekday, period) 兜底比在代码里查一遍再判断可靠得多。4. Windows 环境部署与 PHP 版本兼容从 zip 下载到跑通4.1 Nginx PHP-FPM 在 Windows 上的最小配置这类 zip 解压后通常直接就能跑但前提是运行环境对路。Windows 上用 phpStudy 这类集成环境点击启动即可自己手搭 Nginx 时最容易踩的坑是 fastcgi 配置写错。下面是一份能直接用的最小 server 块server { listen 80; server_name edu.local; root D:/www/edu; index index.php index.html; location ~ \.php$ { fastcgi_pass 127.0.0.1:9000; fastcgi_index index.php; fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name; include fastcgi_params; } }配置说明fastcgi_pass 指向 PHP-CGI 监听端口phpStudy 默认是 9000新版 PHP 8 内置的 CGI 端口可能是 9001要在 PHP 配置文件里确认一致。项目入口如果是 admin.php、login.php 这类静态别名不需要 rewrite只有入口统一为 index.php?actxxx 的单入口架构才考虑 location / { try_files $uri $uri/ /index.php?$query_string; }。4.2 PHP 5 迁移到 PHP 7/8 的兼容性改造早期教务源码大量依赖 mysql_* 系列函数PHP 7 删掉后页面直接白屏。常见做法是先全局搜索把报错函数集中替换掉PHP 5 老写法PHP 7 替代注意事项mysql_connect / mysql_queryPDO 或 MySQLiPDO 统一异常处理推荐优先mysql_real_escape_string预编译占位符不必再手动转义each() 遍历数组foreach ($arr as $k $v)PHP 8 已彻底移除create_function()匿名函数 fn()PHP 8 已移除list($a, $b) each($arr)foreach 解构写法差异最大替换时不要只换函数名连接方式也要跟着改。PDO 连接可以统一封装在 db.php 里其他页面直接引用迁移后顺手把错误模式设为 ERRMODE_EXCEPTIONSQL 写错时报错信息会直接可见排错成本比原来低很多。4.3 php 错误处理白屏和 500 的定位顺序白屏时先看 PHP 错误日志phpStudy 的日志路径一般在 php_error.log手搭环境则看 php.ini 里的 error_log 配置。开发环境可以先开启显示?php // 放在入口文件最顶部定位完成后再关掉 error_reporting(E_ALL); ini_set(display_errors, 1);确认逻辑第一步看浏览器直接访问 php 文件是否返回 500第二步看 Nginx error.logfastcgi 连接不上会有 connect() failed 记录第三步确认入口文件编码是无 BOM 的 UTF-8带 BOM 会导致 header 输出报错。线上环境再回来把这个配置关掉转成日志落盘避免把 SQL 语句和绝对路径暴露出去。5. 这套 zip 必查的 3 个安全点上传白名单、伪协议与越权5.1 上传模块只靠前端校验等于没校验老教务源码里头像上传、课件上传是重灾区。很多代码只检查了文件扩展名后端不再校验于是上传入口成了 php 上传漏洞的高发区。修复方案是白名单加改名加目录隔离?php $allowed [jpg, png, gif, webp]; $ext strtolower(pathinfo($_FILES[file][name], PATHINFO_EXTENSION)); if (!in_array($ext, $allowed)) { exit(bad extension); } $newName bin2hex(random_bytes(8)) . . . $ext; move_uploaded_file($_FILES[file][tmp_name], UPLOAD_DIR . $newName);逻辑说明白名单之外的一切扩展名直接拒绝用 random_bytes 生成随机文件名用户无法预知文件地址上传目录放在 web 根目录之外或通过 Nginx 配置禁止执行 PHP即使文件内容被拼装过也没有执行入口。5.2 路由 include 与 php 伪协议有些老代码喜欢用 include(pages/ . $_GET[p] . .php) 做页面切换。这个写法配合 php 伪协议可以绕过扩展名限制读取敏感文件比如 php://filter 读源码。修复方式是把动态参数改成白名单路由?php $pages [ list pages/schedule_list.php, add pages/schedule_add.php, edit pages/schedule_edit.php, ]; $key $_GET[p] ?? list; if (!isset($pages[$key])) { http_response_code(404); exit(page not found); } include $pages[$key];5.3 用三条 curl 验证部署链路部署完成后几行命令就能确认基础链路是否健康不用等学生在浏览器里试出来curl -i http://127.0.0.1/login.php | head -n 20 curl -o /dev/null -s -w %{http_code} http://127.0.0.1/index.php curl -X POST http://127.0.0.1/grade_save.php -d {} -H Content-Type: application/json第一条确认响应头没有 PHP Warning 夹杂第二条看到 200 就能确定 PHP 处理链活着第三条返回 400 且提示 grade list empty 说明 JSON 入口和 PDO 连接都已生效。头部若有 X-Powered-By 泄露版本信息在 php.ini 里加上 expose_php Off 顺手关掉。本文还有配套的精品资源点击获取