PHP论坛从零搭建：数据库设计与基础功能实现

本文用 PHP 8、PDO 和 MySQL 搭建一个小型论坛的基础版本：用户可以注册、登录，浏览版块与主题，发布主题和回复。示例侧重数据关系、请求处理和安全边界，适合学习项目、内部讨论区或小流量社区的原型。

这不是一套开箱即用的商业论坛系统。实际部署还需要 HTTPS、配置管理、错误日志、备份、内容审核和运维监控。若要承载公开注册或较大流量，应在此基础上补齐限流、邮件验证、找回密码、反垃圾和管理后台等能力。

一、先划清功能与边界

论坛的核心关系可以简化为：用户发布主题，主题归属版块，回复归属主题。为了让示例容易理解，主题正文直接存放在 topics 表，只有后续回复存放在 replies 表。这种设计适用于主题和回复结构相同、功能较简单的论坛。

如果将来需要编辑记录、审核状态、引用关系、附件或统一统计帖子数量，可以再抽象出统一的帖子表，或者为主题增加独立的首帖记录。不要为了“可能扩展”一开始就设计复杂的数据模型；也不要把所有帖子塞入一个文本字段。

以下示例假设 PHP 8.1 或更高版本、MySQL 8.0，并使用 PDO。数据库名称、账号和口令应按本机环境修改。示例不包含 Web 服务器配置，部署时应让 Web 根目录只指向公开入口目录，避免配置文件被直接访问。

二、创建数据库与数据表

用户表保存登录所需信息，版块表保存主题分类，主题和回复表分别保存内容。外键用于约束引用关系；索引则服务于常见查询，例如按版块列出最新主题、按主题读取回复。

CREATE DATABASE php_forum
  CHARACTER SET utf8mb4
  COLLATE utf8mb4_unicode_ci;

USE php_forum;

CREATE TABLE users (
    id BIGINT UNSIGNED NOT NULL AUTO_INCREMENT,
    username VARCHAR(32) NOT NULL,
    email VARCHAR(254) NOT NULL,
    password_hash VARCHAR(255) NOT NULL,
    created_at DATETIME NOT NULL DEFAULT CURRENT_TIMESTAMP,
    PRIMARY KEY (id),
    UNIQUE KEY uq_users_username (username),
    UNIQUE KEY uq_users_email (email)
) ENGINE=InnoDB;

CREATE TABLE categories (
    id BIGINT UNSIGNED NOT NULL AUTO_INCREMENT,
    name VARCHAR(80) NOT NULL,
    description VARCHAR(255) NOT NULL DEFAULT '',
    created_at DATETIME NOT NULL DEFAULT CURRENT_TIMESTAMP,
    PRIMARY KEY (id),
    UNIQUE KEY uq_categories_name (name)
) ENGINE=InnoDB;

CREATE TABLE topics (
    id BIGINT UNSIGNED NOT NULL AUTO_INCREMENT,
    category_id BIGINT UNSIGNED NOT NULL,
    user_id BIGINT UNSIGNED NOT NULL,
    title VARCHAR(200) NOT NULL,
    body TEXT NOT NULL,
    created_at DATETIME NOT NULL DEFAULT CURRENT_TIMESTAMP,
    PRIMARY KEY (id),
    KEY idx_topics_category_created (category_id, created_at, id),
    KEY idx_topics_user (user_id),
    CONSTRAINT fk_topics_category
        FOREIGN KEY (category_id) REFERENCES categories(id)
        ON DELETE RESTRICT,
    CONSTRAINT fk_topics_user
        FOREIGN KEY (user_id) REFERENCES users(id)
        ON DELETE RESTRICT
) ENGINE=InnoDB;

CREATE TABLE replies (
    id BIGINT UNSIGNED NOT NULL AUTO_INCREMENT,
    topic_id BIGINT UNSIGNED NOT NULL,
    user_id BIGINT UNSIGNED NOT NULL,
    body TEXT NOT NULL,
    created_at DATETIME NOT NULL DEFAULT CURRENT_TIMESTAMP,
    PRIMARY KEY (id),
    KEY idx_replies_topic_created (topic_id, created_at, id),
    KEY idx_replies_user (user_id),
    CONSTRAINT fk_replies_topic
        FOREIGN KEY (topic_id) REFERENCES topics(id)
        ON DELETE CASCADE,
    CONSTRAINT fk_replies_user
        FOREIGN KEY (user_id) REFERENCES users(id)
        ON DELETE RESTRICT
) ENGINE=InnoDB;

INSERT INTO categories (name, description)
VALUES ('综合讨论', '日常交流与问题讨论');

utf8mb4 支持完整 Unicode 字符，包括常见表情字符。主题删除时级联删除回复；用户删除则受外键限制，避免帖子作者记录无声消失。真实社区通常会采用软删除或匿名化流程，而不是直接删除用户行。MySQL 外键需要使用支持外键的存储引擎，例如 InnoDB。

数据库列宽并不等同于完整的输入校验。例如 VARCHAR(32) 限制的是存储长度，但业务代码仍应明确接受什么字符、使用什么长度规则，并处理数据库拒绝写入的情况。MySQL 的长度和 PHP 字符串函数对多字节文本的计量方式也不完全相同，下面的示例用 mb_strlen 按字符数检查正文。

三、PDO 连接与公共函数

建立一个 bootstrap.php，放在不能被 Web 直接读取的位置。连接信息通过环境变量提供，避免把生产数据库密码写进仓库。下面代码在 HTTPS 请求下设置安全 Cookie 标志；本地 HTTP 开发环境则不会设置 Secure。

<?php
declare(strict_types=1);

$https = !empty($_SERVER['HTTPS']) && $_SERVER['HTTPS'] !== 'off';

session_set_cookie_params([
    'httponly' => true,
    'secure' => $https,
    'samesite' => 'Lax',
]);

session_start();

$dsn = getenv('DB_DSN') ?: 'mysql:host=127.0.0.1;dbname=php_forum;charset=utf8mb4';
$dbUser = getenv('DB_USER') ?: 'forum_app';
$dbPass = getenv('DB_PASS') ?: '';

$pdo = new PDO($dsn, $dbUser, $dbPass, [
    PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION,
    PDO::ATTR_DEFAULT_FETCH_MODE => PDO::FETCH_ASSOC,
    PDO::ATTR_EMULATE_PREPARES => false,
]);

function e(string $value): string
{
    return htmlspecialchars($value, ENT_QUOTES | ENT_SUBSTITUTE, 'UTF-8');
}

function csrf_token(): string
{
    if (!isset($_SESSION['csrf_token'])) {
        $_SESSION['csrf_token'] = bin2hex(random_bytes(32));
    }
    return $_SESSION['csrf_token'];
}

function verify_csrf(): void
{
    $sent = $_POST['csrf_token'] ?? '';
    $saved = $_SESSION['csrf_token'] ?? '';

    if (!is_string($sent) || !is_string($saved)
        || !hash_equals($saved, $sent)) {
        http_response_code(400);
        exit('请求无效，请刷新页面后重试。');
    }
}

function require_login(): int
{
    $id = $_SESSION['user_id'] ?? null;

    if (!is_int($id) && !ctype_digit((string) $id)) {
        http_response_code(401);
        exit('请先登录。');
    }

    return (int) $id;
}

PDO::ATTR_EMULATE_PREPARES 关闭模拟预处理；代码仍应使用预处理语句绑定用户输入，不能把输入直接拼进 SQL。e() 用于把动态文本编码后放进 HTML 文本节点或带引号的属性值，不能用它代替 SQL 参数绑定，也不能将它当作 JavaScript、CSS 或 URL 的通用编码函数。

会话 Cookie 的 HttpOnly 可降低脚本直接读取会话 Cookie 的机会，SameSite 提供一定的跨站请求缓解，Secure 要求浏览器只在 HTTPS 下发送 Cookie。它们不能替代 CSRF 校验；部署 HTTPS 后应确认服务器能正确判断请求是否安全，不要盲目相信用户可控的转发头。

四、注册、登录与密码处理

密码不能明文存储，也不应使用 MD5、SHA-1 等通用哈希函数代替密码哈希。PHP 的 password_hash 会选择适合的密码哈希算法，password_verify 用于验证。为哈希字段预留 255 个字符，可以容纳算法和参数变化产生的不同长度结果。

以下注册处理代码接收表单的 username、email 和 password。业务规则设定用户名为 3 至 32 个 ASCII 字母、数字或下划线，密码为 12 至 200 个字节；这是本示例的产品规则，不是 PHP 或数据库强制的通用标准。上线前应结合目标用户调整策略，并提供足够的密码管理体验。

<?php
require __DIR__ . '/bootstrap.php';

if ($_SERVER['REQUEST_METHOD'] !== 'POST') {
    http_response_code(405);
    exit('仅接受 POST 请求。');
}
verify_csrf();

$username = trim((string) ($_POST['username'] ?? ''));
$email = trim((string) ($_POST['email'] ?? ''));
$password = (string) ($_POST['password'] ?? '');

if (!preg_match('/\A[A-Za-z0-9_]{3,32}\z/', $username)) {
    exit('用户名须为 3 至 32 位字母、数字或下划线。');
}
if (strlen($password) < 12 || strlen($password) > 200) {
    exit('密码长度不符合要求。');
}
if (strlen($email) > 254 || !filter_var($email, FILTER_VALIDATE_EMAIL)) {
    exit('邮箱格式不正确。');
}

$hash = password_hash($password, PASSWORD_DEFAULT);

try {
    $stmt = $pdo->prepare(
        'INSERT INTO users (username, email, password_hash)
         VALUES (:username, :email, :password_hash)'
    );
    $stmt->execute([
        'username' => $username,
        'email' => $email,
        'password_hash' => $hash,
    ]);
} catch (PDOException $exception) {
    if ($exception->getCode() === '23000') {
        exit('用户名或邮箱已被使用。');
    }
    throw $exception;
}

$_SESSION['user_id'] = (int) $pdo->lastInsertId();
session_regenerate_id(true);
header('Location: /');
exit;

唯一索引是处理用户名和邮箱重复的最终保障。即使先执行“查询是否已存在”，两个并发请求仍可能同时通过检查，因此不能只依赖应用层的预查询。示例用 SQLSTATE 23000 处理完整性约束冲突；更复杂的系统可进一步检查具体驱动错误码，避免把其他约束错误也显示成重复提示。

邮箱正则和 FILTER_VALIDATE_EMAIL 只能做格式层面的检查，不能证明邮箱属于提交者。需要确认邮箱有效时，应发送带有效期的一次性验证链接。登录成功后应调用 session_regenerate_id(true)，降低会话固定风险。

<?php
require __DIR__ . '/bootstrap.php';

if ($_SERVER['REQUEST_METHOD'] !== 'POST') {
    http_response_code(405);
    exit('仅接受 POST 请求。');
}
verify_csrf();

$login = trim((string) ($_POST['login'] ?? ''));
$password = (string) ($_POST['password'] ?? '');

$stmt = $pdo->prepare(
    'SELECT id, password_hash
     FROM users
     WHERE username = :login OR email = :login
     LIMIT 1'
);
$stmt->execute(['login' => $login]);
$user = $stmt->fetch();

if (!$user || !password_verify($password, $user['password_hash'])) {
    exit('账号或密码错误。');
}

session_regenerate_id(true);
$_SESSION['user_id'] = (int) $user['id'];
header('Location: /');
exit;

登录表单的用户名和邮箱字段可以共用，但应对请求频率做限制，并避免错误提示泄露账号是否存在。线上应用还应考虑登录失败记录、账号锁定策略与密码重置流程；单纯永久锁定账号可能被恶意利用，因此要谨慎设计。

五、发布主题：校验、事务与重定向

发主题前需要确认用户已登录、请求方法正确、CSRF 令牌有效，并检查版块是否存在。下面将主题插入放在事务中，是为了演示一致的写入边界；单条插入本身通常不需要事务。若以后同时创建主题、首帖记录和审计记录，事务就能保证这些写入要么一起成功，要么一起回滚。

<?php
require __DIR__ . '/bootstrap.php';
$userId = require_login();

if ($_SERVER['REQUEST_METHOD'] !== 'POST') {
    http_response_code(405);
    exit('仅接受 POST 请求。');
}
verify_csrf();

$categoryId = filter_var(
    $_POST['category_id'] ?? null,
    FILTER_VALIDATE_INT,
    ['options' => ['min_range' => 1]]
);
$title = trim((string) ($_POST['title'] ?? ''));
$body = trim((string) ($_POST['body'] ?? ''));

if ($categoryId === false || $categoryId === null) {
    exit('请选择有效版块。');
}
if (mb_strlen($title, 'UTF-8') < 1
    || mb_strlen($title, 'UTF-8') > 200) {
    exit('标题长度须为 1 至 200 个字符。');
}
if (mb_strlen($body, 'UTF-8') < 1
    || mb_strlen($body, 'UTF-8') > 10000) {
    exit('正文长度须为 1 至 10000 个字符。');
}

$check = $pdo->prepare('SELECT id FROM categories WHERE id = :id');
$check->execute(['id' => $categoryId]);
if (!$check->fetch()) {
    exit('版块不存在。');
}

$pdo->beginTransaction();
try {
    $stmt = $pdo->prepare(
        'INSERT INTO topics (category_id, user_id, title, body)
         VALUES (:category_id, :user_id, :title, :body)'
    );
    $stmt->execute([
        'category_id' => $categoryId,
        'user_id' => $userId,
        'title' => $title,
        'body' => $body,
    ]);
    $topicId = (int) $pdo->lastInsertId();
    $pdo->commit();
} catch (Throwable $exception) {
    if ($pdo->inTransaction()) {
        $pdo->rollBack();
    }
    throw $exception;
}

header('Location: /topic.php?id=' . $topicId, true, 303);
exit;

数据库预处理负责把输入作为数据处理，避免它改变 SQL 结构；它不会检查标题是否恰当，也不会阻止用户提交恶意或违规内容。长度、权限和内容规则仍需由应用处理。正文最大长度是本示例的业务限制，PHP、MySQL 的实际边界还受配置和字段类型影响，部署前应确认请求体限制允许目标大小。

成功写入后使用 303 重定向，让浏览器后续以 GET 请求打开主题页，避免刷新时重复提交表单。版块存在性检查便于给出清晰错误，但外键仍不可省略，因为检查与写入之间存在并发变化的可能。

六、列表与分页：限制参数，但不拼接输入

列表页应给分页参数设置下界和上界。下面把每页数量固定为 20，并将页码限制在正整数范围。即使绑定了参数，也不要把未经验证的任意数值直接用于偏移计算，以免出现整数溢出或不合理查询。

<?php
require __DIR__ . '/bootstrap.php';

$categoryId = filter_input(
    INPUT_GET,
    'category',
    FILTER_VALIDATE_INT,
    ['options' => ['min_range' => 1]]
);
$page = filter_input(
    INPUT_GET,
    'page',
    FILTER_VALIDATE_INT,
    ['options' => ['min_range' => 1, 'max_range' => 100000]]
);

if ($categoryId === false || $categoryId === null) {
    http_response_code(400);
    exit('版块参数无效。');
}
$page = ($page === false || $page === null) ? 1 : $page;

$perPage = 20;
$offset = ($page - 1) * $perPage;

$stmt = $pdo->prepare(
    'SELECT t.id, t.title, t.created_at, u.username
     FROM topics AS t
     JOIN users AS u ON u.id = t.user_id
     WHERE t.category_id = :category_id
     ORDER BY t.created_at DESC, t.id DESC
     LIMIT :limit OFFSET :offset'
);
$stmt->bindValue(':category_id', $categoryId, PDO::PARAM_INT);
$stmt->bindValue(':limit', $perPage, PDO::PARAM_INT);
$stmt->bindValue(':offset', $offset, PDO::PARAM_INT);
$stmt->execute();
$topics = $stmt->fetchAll();

动态排序字段、表名等 SQL 标识符不能通过普通值参数绑定。如果要允许用户切换排序方式，应把请求映射到一组预先写好的字段，例如仅允许 newest 或 oldest，再从代码常量中选择 SQL 片段。不能直接拼接 $_GET['sort']。

分页查询使用稳定的次级排序键 id，避免同一时间戳记录顺序不确定。偏移分页在数据量很大、页码很深时会越来越慢；届时可改为基于上一页最后一条记录的游标分页。页码上限是示例策略，并不意味着所有业务都应限制在同一数值。

七、读取主题与回复，并安全输出

查询主题时应校验 ID，并使用预处理语句。输出数据库文本时仍要进行 HTML 编码，因为参数化 SQL 只解决 SQL 注入，不解决跨站脚本问题。以下展示标题和纯文本正文；用 nl2br 将换行转换为 HTML 换行标签时，必须先对正文编码。

<?php
require __DIR__ . '/bootstrap.php';

$topicId = filter_input(
    INPUT_GET,
    'id',
    FILTER_VALIDATE_INT,
    ['options' => ['min_range' => 1]]
);
if ($topicId === false || $topicId === null) {
    http_response_code(400);
    exit('主题参数无效。');
}

$stmt = $pdo->prepare(
    'SELECT t.id, t.title, t.body, t.created_at, u.username
     FROM topics AS t
     JOIN users AS u ON u.id = t.user_id
     WHERE t.id = :id'
);
$stmt->execute(['id' => $topicId]);
$topic = $stmt->fetch();

if (!$topic) {
    http_response_code(404);
    exit('主题不存在。');
}

$replyStmt = $pdo->prepare(
    'SELECT r.body, r.created_at, u.username
     FROM replies AS r
     JOIN users AS u ON u.id = r.user_id
     WHERE r.topic_id = :topic_id
     ORDER BY r.created_at ASC, r.id ASC'
);
$replyStmt->execute(['topic_id' => $topicId]);
$replies = $replyStmt->fetchAll();
?>

<h1><?= e($topic['title']) ?></h1>
<p>作者：<?= e($topic['username']) ?></p>
<div class="post-body"><?= nl2br(e($topic['body'])) ?></div>

<h2>回复</h2>
<?php foreach ($replies as $reply): ?>
    <article>
        <p><?= e($reply['username']) ?>：
            <?= nl2br(e($reply['body'])) ?>
        </p>
    </article>
<?php endforeach; ?>

这段输出方式把正文视为纯文本，不允许用户提交任意 HTML。若产品需要富文本，不能简单取消 e()；应使用经过维护、配置得当的 HTML 白名单净化器，并限制允许的标签、属性和 URL 协议。自行用正则删除“危险标签”很容易遗漏绕过方式。

八、发布回复：权限检查与 CSRF

回复处理与发主题类似。下面假设登录用户可以回复任何存在的主题；如果后续加入锁帖、禁言或版块权限，必须在服务器端查询并检查权限，不能只在页面上隐藏提交按钮。

<?php
require __DIR__ . '/bootstrap.php';
$userId = require_login();

if ($_SERVER['REQUEST_METHOD'] !== 'POST') {
    http_response_code(405);
    exit('仅接受 POST 请求。');
}
verify_csrf();

$topicId = filter_var(
    $_POST['topic_id'] ?? null,
    FILTER_VALIDATE_INT,
    ['options' => ['min_range' => 1]]
);
$body = trim((string) ($_POST['body'] ?? ''));

if ($topicId === false || $topicId === null) {
    exit('主题参数无效。');
}
if (mb_strlen($body, 'UTF-8') < 1
    || mb_strlen($body, 'UTF-8') > 10000) {
    exit('回复长度须为 1 至 10000 个字符。');
}

$stmt = $pdo->prepare('SELECT id FROM topics WHERE id = :id');
$stmt->execute(['id' => $topicId]);
if (!$stmt->fetch()) {
    http_response_code(404);
    exit('主题不存在。');
}

$stmt = $pdo->prepare(
    'INSERT INTO replies (topic_id, user_id, body)
     VALUES (:topic_id, :user_id, :body)'
);
$stmt->execute([
    'topic_id' => $topicId,
    'user_id' => $userId,
    'body' => $body,
]);

header('Location: /topic.php?id=' . $topicId, true, 303);
exit;

对应的表单应包含服务器生成的 CSRF 令牌，并使用 POST 提交：

<form method="post" action="/reply.php">
    <input type="hidden" name="csrf_token" value="<?= e(csrf_token()) ?>">
    <input type="hidden" name="topic_id" value="<?= (int) $topic['id'] ?>">
    <label>回复内容
        <textarea name="body" required maxlength="10000"></textarea>
    </label>
    <button type="submit">提交回复</button>
</form>

表单上的 maxlength 只改善浏览器端体验，攻击者可以绕过它；服务端校验仍然必需。隐藏字段同样不是可信数据，主题 ID、用户 ID 和权限都应在服务器端处理。作者 ID 从会话中读取，而不是让客户端自行提交。

九、常见错误与上线前检查

• 把用户输入拼进 SQL。预处理语句绑定值；动态列名和排序方式采用白名单映射。不要把 HTML 编码误当成 SQL 防护。
• 输出时不编码。用户名、标题、正文和版块名称都是不可信内容。普通文本输出使用适合 HTML 上下文的编码；富文本必须做白名单净化。
• 只在前端验证。浏览器校验便于用户操作，不构成安全边界。服务端要重新检查类型、长度、格式、登录状态和操作权限。
• 把密码直接存数据库。使用 password_hash 和 password_verify，不要自创加盐算法或使用快速通用哈希。
• 忽略跨站请求伪造。所有会改变状态的表单请求都应验证 CSRF 令牌。GET 请求应保持只读，不要用访问链接触发删除或改权限。
• 把数据库错误原样展示给访客。生产环境关闭错误详情输出，将异常记录到受保护的日志；页面返回通用错误信息，避免泄露 SQL、文件路径或连接信息。
• 让应用账号拥有过高权限。运行论坛的数据库用户只需获得应用所需的权限；建表、迁移和日常运行最好使用不同账号。
• 忽视反垃圾和资源控制。限制正文长度、请求体大小和访问频率；公开社区还需要审核、举报、重复内容处理与必要的封禁机制。仅有长度限制不能有效防止垃圾内容。

完成基础功能后，建议先在本地验证：重复用户名会被拒绝；错误密码无法登录；未登录用户不能发帖；缺失或错误的 CSRF 令牌不能写入；正文中的 <script> 会作为文本显示而不执行；不存在的版块和主题不会造成未捕获的数据库错误。随后再为 HTTPS、备份恢复、日志轮转和数据库迁移制定部署流程。

这套结构的重点不是代码行数，而是把信任边界放对位置：数据库负责数据完整性，参数化语句负责 SQL 值绑定，服务端负责输入和权限校验，输出编码负责 HTML 上下文安全，会话与 CSRF 校验负责请求身份边界。把这些基础做扎实，再逐步增加编辑、搜索、审核和通知功能，论坛才更容易维护。