简介：这是一套面向Web开发初学者与课程设计需求者的PHP+MySQL学生信息管理系统源码，采用Bootstrap构建前端界面，适合用于毕业设计、课程作业或PHP入门实战练习。压缩包共144个文件，约25.4MB，其中39个php文件承载登录、首页、用户信息、联系、操作日志、用户列表、条幅与公告等核心模块，21个css与7个js文件负责页面样式与交互，38个jpg、14个png及1个webp提供界面配图，另含1个sql数据库脚本和1个docx说明文档，导入即可运行。系统功能覆盖用户增删改查、密码重置、日志筛选、条幅与公告管理，并支持用户数据与操作日志的Excel导出，分页组件也已封装。目前已有1911人学习下载，读者可借此快速理解PHP与MySQL的协作方式，掌握后台管理系统的目录组织与常见业务实现，适合作为二次开发或功能扩展的参考基础。
1. 从一张 Excel 成绩表说起：PHP+MySQL 学生信息管理系统到底解决什么问题
每学期开学，教务老师发来一张 Excel 成绩表，几十个字段、上千行数据，要按班级筛选、按学号排序、统计不及格人数，还要让班主任各自登录只看到本班学生。用 Excel 共享协作，版本冲突、权限混乱、公式被误改，几乎每学期都要翻车一次。PHP+MySQL 学生信息管理系统要解决的，就是把这张表搬到 Web 上：浏览器打开就能查、能改、能导出，不同角色看到不同数据，所有操作留痕。它适合两类人：一是刚学完 PHP 语法、想找一个完整项目练手的在校生；二是学校信息中心或培训机构的运维人员，需要一套轻量、可自己维护、不依赖商业授权的学生数据管理工具。这套系统的技术栈非常成熟，PHP 负责页面渲染和业务逻辑，MySQL 负责数据持久化，部署成本低，一台普通服务器甚至一台旧电脑就能跑起来。下面我从建库建表开始，把每一步的命令、参数和踩坑点讲清楚。
2. 建库建表与字段设计：学生表、成绩表、用户表怎么拆
2.1 三张核心表的字段与关系
学生信息管理系统的数据模型不复杂，但字段类型和约束如果一开始没设计好，后面改起来非常痛苦。我一般会拆成三张核心表：students（学生基本信息）、scores（成绩记录）、users（系统登录用户）。学生表和成绩表通过学号关联，用户表通过角色字段区分管理员、班主任、学生三种身份。
先看学生表。学号是业务主键，用VARCHAR(20)而不是INT，因为很多学校的学号带字母或前导零。姓名用VARCHAR(50)，性别用ENUM('男','女')或TINYINT，班级用VARCHAR(50)，入学年份用YEAR。这里有一个容易忽略的点：utf8mb4字符集必须显式指定，否则中文姓名和备注字段会出现乱码或截断。
-- 创建数据库，字符集必须用 utf8mb4 CREATE DATABASE student_mgmt DEFAULT CHARACTER SET utf8mb4 DEFAULT COLLATE utf8mb4_unicode_ci; USE student_mgmt; -- 学生基本信息表 CREATE TABLE students ( student_id VARCHAR(20) NOT NULL COMMENT '学号，业务主键', name VARCHAR(50) NOT NULL COMMENT '姓名', gender ENUM('男','女') DEFAULT '男' COMMENT '性别', class_name VARCHAR(50) NOT NULL COMMENT '班级', enroll_year YEAR NOT NULL COMMENT '入学年份', phone VARCHAR(20) DEFAULT NULL COMMENT '联系电话', created_at DATETIME DEFAULT CURRENT_TIMESTAMP, PRIMARY KEY (student_id), KEY idx_class (class_name), KEY idx_year (enroll_year) ) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COMMENT='学生基本信息'; -- 成绩表，一个学生多门课，用联合主键 CREATE TABLE scores ( student_id VARCHAR(20) NOT NULL, course_name VARCHAR(50) NOT NULL, score DECIMAL(5,2) NOT NULL DEFAULT 0.00, exam_date DATE DEFAULT NULL, PRIMARY KEY (student_id, course_name), CONSTRAINT fk_score_student FOREIGN KEY (student_id) REFERENCES students(student_id) ON DELETE CASCADE ) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COMMENT='成绩记录'; -- 登录用户表 CREATE TABLE users ( id INT AUTO_INCREMENT PRIMARY KEY, username VARCHAR(50) NOT NULL UNIQUE, password VARCHAR(255) NOT NULL COMMENT '存 password_hash 结果', role ENUM('admin','teacher','student') NOT NULL DEFAULT 'student', student_id VARCHAR(20) DEFAULT NULL COMMENT '学生角色关联学号', created_at DATETIME DEFAULT CURRENT_TIMESTAMP ) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COMMENT='系统用户';逻辑说明：students表用学号做主键，避免自增 ID 在导入导出时对不上；scores表用(student_id, course_name)联合主键，保证一个学生同一门课只有一条记录，外键ON DELETE CASCADE让删除学生时自动清理成绩。users表的password字段长度给到 255，因为password_hash()生成的 bcrypt 哈希有 60 个字符，留足余量。
参数说明：DECIMAL(5,2)表示总分 5 位、小数 2 位，最大 999.99，足够覆盖百分制和小数成绩。ENUM在 MySQL 里插入非法值会报错或插入空字符串，取决于 SQL 模式，建议在应用层做校验。索引idx_class和idx_year是为了按班级、年份筛选时走索引，数据量上千后差别很明显。
2.2 用 PHP PDO 连接 MySQL 并处理中文
建完表，下一步是让 PHP 连上 MySQL。常见做法是用 PDO，而不是老的mysql_*函数。PDO 支持预处理语句，能防 SQL 注入，也支持异常模式，出错时直接抛异常，不用每行都写or die()。
<?php // db.php —— 数据库连接配置 $host = '127.0.0.1'; $db = 'student_mgmt'; $user = 'root'; $pass = 'your_password'; $charset = 'utf8mb4'; $dsn = "mysql:host=$host;dbname=$db;charset=$charset"; $options = [ PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION, // 出错抛异常 PDO::ATTR_DEFAULT_FETCH_MODE => PDO::FETCH_ASSOC, // 默认关联数组 PDO::ATTR_EMULATE_PREPARES => false, // 用真预处理 ]; try { $pdo = new PDO($dsn, $user, $pass, $options); } catch (PDOException $e) { // 生产环境不要直接输出 $e->getMessage() error_log('DB connect failed: ' . $e->getMessage()); exit('数据库连接失败，请联系管理员'); }逻辑说明：ATTR_EMULATE_PREPARES => false让 MySQL 服务端做预处理，而不是 PDO 在本地拼 SQL，能彻底杜绝注入。charset=utf8mb4写在 DSN 里，比连接后再执行SET NAMES更可靠。捕获异常后只写日志，不把原始错误吐给浏览器，避免泄露数据库结构。
参数说明：$host用127.0.0.1而不是localhost，因为localhost在部分系统上会走 Unix socket，和 TCP 行为不一致。$pass不要硬编码在代码里，生产环境用环境变量或配置文件并设置文件权限。如果 MySQL 8.0 默认认证插件是caching_sha2_password，老版本 PHP 可能连不上，需要在 MySQL 里执行ALTER USER 'root'@'localhost' IDENTIFIED WITH mysql_native_password BY 'your_password';临时兼容，但更好的做法是升级 PHP 的 MySQL 驱动。
3. 增删改查与分页：把学生列表跑起来
3.1 学生列表的分页查询与排序
学生列表是使用频率最高的页面，必须支持分页和排序。直接SELECT * FROM students在数据量上千后会把页面拖慢，而且一次性渲染所有行对浏览器也不友好。常见做法是每页 20 条，用LIMIT和OFFSET分页，同时用COUNT(*)算总页数。
<?php // students_list.php —— 分页查询学生列表 require 'db.php'; $page = max(1, (int)($_GET['page'] ?? 1)); $perPage = 20; $offset = ($page - 1) * $perPage; // 允许的排序字段白名单，防止 ORDER BY 注入 $allowedSort = ['student_id', 'name', 'class_name', 'enroll_year']; $sort = in_array($_GET['sort'] ?? '', $allowedSort) ? $_GET['sort'] : 'student_id'; $order = ($_GET['order'] ?? 'asc') === 'desc' ? 'DESC' : 'ASC'; // 总数 $total = $pdo->query("SELECT COUNT(*) FROM students")->fetchColumn(); $totalPages = ceil($total / $perPage); // 当前页数据，ORDER BY 字段来自白名单，安全 $sql = "SELECT student_id, name, gender, class_name, enroll_year FROM students ORDER BY $sort $order LIMIT :limit OFFSET :offset"; $stmt = $pdo->prepare($sql); $stmt->bindValue(':limit', $perPage, PDO::PARAM_INT); $stmt->bindValue(':offset', $offset, PDO::PARAM_INT); $stmt->execute(); $students = $stmt->fetchAll();逻辑说明：ORDER BY后面的字段不能直接用预处理参数，所以用白名单数组过滤，只允许四个字段参与排序。LIMIT和OFFSET用bindValue并指定PDO::PARAM_INT，否则 PDO 可能把它们当字符串加引号，导致 SQL 语法错误。COUNT(*)单独查一次，和分页查询分开，避免用SQL_CALC_FOUND_ROWS（MySQL 8.0 已不推荐）。
参数说明：$perPage设 20 是经验值，太小翻页频繁，太大页面加载慢。$page用max(1, ...)兜底，防止用户传负数或零。如果数据量到十万级，OFFSET会变慢，可以改用游标分页（WHERE student_id > :last_id），但学生管理系统通常到不了这个量级。
3.2 新增与编辑学生的表单处理
新增和编辑共用一套表单，区别在于是否有学号参数。提交后先校验必填项和格式，再写库。这里最容易翻车的是重复学号：直接INSERT会抛主键冲突异常，应该先查再插，或者用INSERT ... ON DUPLICATE KEY UPDATE。
<?php // student_save.php —— 新增或更新学生 require 'db.php'; $student_id = trim($_POST['student_id'] ?? ''); $name = trim($_POST['name'] ?? ''); $gender = $_POST['gender'] ?? '男'; $class_name = trim($_POST['class_name'] ?? ''); $enroll_year = (int)($_POST['enroll_year'] ?? date('Y')); // 服务端校验，不能只靠前端 if ($student_id === '' || $name === '' || $class_name === '') { exit('学号、姓名、班级不能为空'); } if (!in_array($gender, ['男', '女'], true)) { exit('性别参数非法'); } $sql = "INSERT INTO students (student_id, name, gender, class_name, enroll_year) VALUES (:sid, :name, :gender, :class, :year) ON DUPLICATE KEY UPDATE name = VALUES(name), gender = VALUES(gender), class_name = VALUES(class_name), enroll_year = VALUES(enroll_year)"; $stmt = $pdo->prepare($sql); $stmt->execute([ ':sid' => $student_id, ':name' => $name, ':gender' => $gender, ':class' => $class_name, ':year' => $enroll_year, ]); header('Location: students_list.php');逻辑说明：ON DUPLICATE KEY UPDATE让同一学号再次提交时变成更新，避免先查后插的竞态条件。VALUES()函数引用的是INSERT子句里准备插入的值，MySQL 8.0.20 之后推荐用别名写法，但VALUES()仍然可用。所有用户输入都通过预处理参数传入，不拼字符串。
参数说明：$enroll_year强制转int，防止非数字字符串进库。header('Location: ...')之后要exit，否则后续代码继续执行。如果表单里有文件上传，enctype必须是multipart/form-data，且$_POST和$_FILES要分开处理。
4. 登录、权限与密码存储：别把明文密码写进数据库
4.1 用 password_hash 和 password_verify 做认证
登录模块的核心只有两件事：存密码时哈希，验密码时比对。PHP 内置的password_hash()和password_verify()就是干这个的，不要自己写 MD5 或 SHA1，更不要明文存储。password_hash()默认用 bcrypt，每次生成的盐不同，同一个密码两次哈希结果不一样，这是正常现象。
<?php // register.php —— 注册时哈希密码 $username = trim($_POST['username'] ?? ''); $password = $_POST['password'] ?? ''; $role = 'student'; if (strlen($password) < 8) { exit('密码至少 8 位'); } $hash = password_hash($password, PASSWORD_DEFAULT); $stmt = $pdo->prepare("INSERT INTO users (username, password, role) VALUES (?, ?, ?)"); $stmt->execute([$username, $hash, $role]); // login.php —— 登录时验证 $stmt = $pdo->prepare("SELECT id, password, role, student_id FROM users WHERE username = ?"); $stmt->execute([$_POST['username'] ?? '']); $user = $stmt->fetch(); if ($user && password_verify($_POST['password'] ?? '', $user['password'])) { session_start(); session_regenerate_id(true); // 防会话固定 $_SESSION['user_id'] = $user['id']; $_SESSION['role'] = $user['role']; header('Location: dashboard.php'); } else { exit('用户名或密码错误'); }逻辑说明：password_hash的第二个参数用PASSWORD_DEFAULT，让 PHP 跟随当前推荐的算法，将来升级不用改代码。session_regenerate_id(true)在登录成功后重新生成会话 ID，防止攻击者预先固定一个会话 ID 再诱导用户登录。验证失败时统一返回「用户名或密码错误」，不区分是用户不存在还是密码错，避免账号枚举。
参数说明：密码长度至少 8 位是底线，更严格可以要求大小写加数字。PASSWORD_DEFAULT目前是 bcrypt，成本因子默认 10，如果服务器性能好可以调到 12，但登录会变慢，需要权衡。session要配合session.cookie_httponly=1和session.cookie_secure=1（HTTPS 环境下）使用。
4.2 按角色控制页面访问
系统有三种角色：管理员能看所有学生和成绩，班主任只能看本班，学生只能看自己。实现方式是在每个需要权限的页面开头检查$_SESSION['role']，不满足就跳转或返回 403。
<?php // auth.php —— 权限检查函数 function require_role(array $roles) { session_start(); if (!isset($_SESSION['role']) || !in_array($_SESSION['role'], $roles, true)) { http_response_code(403); exit('无权访问'); } } // teacher_scores.php —— 班主任查本班成绩 require 'db.php'; require 'auth.php'; require_role(['admin', 'teacher']); $class = $_SESSION['class_name'] ?? ''; if ($_SESSION['role'] === 'admin') { $stmt = $pdo->query("SELECT s.student_id, s.name, sc.course_name, sc.score FROM students s JOIN scores sc ON s.student_id = sc.student_id"); } else { $stmt = $pdo->prepare("SELECT s.student_id, s.name, sc.course_name, sc.score FROM students s JOIN scores sc ON s.student_id = sc.student_id WHERE s.class_name = ?"); $stmt->execute([$class]); } $rows = $stmt->fetchAll();逻辑说明：require_role把角色检查抽成函数，每个页面调用一次，避免重复写if。管理员走无参数查询，班主任走带班级参数的预处理查询。这里假设登录时已经把class_name写进 session，实际项目中可以从users表关联students表取。
参数说明：http_response_code(403)返回标准禁止访问状态码，比直接exit更规范。in_array第三个参数true启用严格比较，防止类型 juggling。如果角色更多，可以改成权限位或 RBAC 表，但三种角色用数组足够。
5. 避坑与排查：学生信息管理系统最常见的 5 个翻车点
5.1 中文乱码：数据库、连接、页面三处都要 utf8mb4
现象：学生姓名显示成问号或乱码，导出 CSV 用 Excel 打开也是乱码。原因：字符集没统一。MySQL 建库时用了latin1，或者 PDO 连接没指定charset=utf8mb4，或者 HTML 页面没声明<meta charset="utf-8">。解决：建库建表用utf8mb4，DSN 里写charset=utf8mb4，PHP 文件保存为 UTF-8 无 BOM，HTML 头部加<meta charset="utf-8">。导出 CSV 时在开头输出 BOM：echo "\xEF\xBB\xBF";，Excel 才能正确识别。
5.2 外键约束导致删除失败
现象：删除一个学生时报Cannot delete or update a parent row: a foreign key constraint fails。原因：scores表有外键指向students，且没有设置级联删除。解决：建表时加ON DELETE CASCADE，或者在删除学生前先DELETE FROM scores WHERE student_id = ?。如果已经建好表，用ALTER TABLE scores DROP FOREIGN KEY fk_score_student;再重新加带级联的外键。注意级联删除不可逆，生产环境建议先软删除。
5.3 分页页码越界或 SQL 报错
现象：访问?page=0或?page=abc时页面空白或报 SQL 语法错误。原因：$page没做整数转换和下限保护，OFFSET变成负数。解决：$page = max(1, (int)($_GET['page'] ?? 1));，同时LIMIT和OFFSET用bindValue指定PDO::PARAM_INT。如果总页数为 0，前端不渲染分页条。
5.4 会话丢失：登录后跳转又回到登录页
现象：登录成功，但点任何链接都跳回登录页。原因：session_start()没在每个页面开头调用，或者session.cookie_path设置不对，或者服务器时间不同步导致会话立即过期。解决：把session_start()放在公共文件顶部，确保所有页面引入；检查php.ini里session.cookie_path=/；用session_save_path确认会话文件可写。如果用了负载均衡，会话要存 Redis 或数据库。
5.5 密码哈希验证失败：字段长度不够
现象：注册成功，但登录时password_verify一直返回 false。原因：users.password字段长度设成了VARCHAR(32)或CHAR(32)，而 bcrypt 哈希有 60 个字符，存进去被截断。解决：把字段改成VARCHAR(255)，重新注册用户。如果已经存了截断的哈希，只能重置密码。另外注意password_hash每次结果不同，不能用哈希值直接比较，必须用password_verify。
6. 进阶技巧：用事务保证成绩批量导入的一致性
批量导入成绩是学生信息管理系统里最容易出数据问题的操作。一个 Excel 几百行，如果逐条插入，中途某行格式错误，前面的已经写库，后面的没写，数据就半截了。我一般用 MySQL 事务把整批导入包起来，要么全成功，要么全回滚。下面是一个从 CSV 导入成绩的示例，用fgetcsv读文件，事务控制写入。
<?php // import_scores.php —— 事务批量导入成绩 require 'db.php'; if (!isset($_FILES['csv']) || $_FILES['csv']['error'] !== UPLOAD_ERR_OK) { exit('请上传 CSV 文件'); } $handle = fopen($_FILES['csv']['tmp_name'], 'r'); if ($handle === false) { exit('无法读取文件'); } $pdo->beginTransaction(); try { $stmt = $pdo->prepare( "INSERT INTO scores (student_id, course_name, score, exam_date) VALUES (:sid, :course, :score, :date) ON DUPLICATE KEY UPDATE score = VALUES(score), exam_date = VALUES(exam_date)" ); $line = 0; while (($row = fgetcsv($handle)) !== false) { $line++; if ($line === 1) continue; // 跳过表头 // 期望列顺序：学号, 课程, 成绩, 考试日期 if (count($row) < 3) { throw new RuntimeException("第 $line 行列数不足"); } $score = (float)$row[2]; if ($score < 0 || $score > 100) { throw new RuntimeException("第 $line 行成绩超出 0-100"); } $stmt->execute([ ':sid' => trim($row[0]), ':course' => trim($row[1]), ':score' => $score, ':date' => $row[3] ?? null, ]); } fclose($handle); $pdo->commit(); echo "导入完成，共处理 " . ($line - 1) . " 行"; } catch (Throwable $e) { $pdo->rollBack(); fclose($handle); error_log('Import failed: ' . $e->getMessage()); exit('导入失败：' . $e->getMessage()); }逻辑说明：beginTransaction开启事务，所有INSERT在同一个事务里，任何一行抛异常就rollBack，已插入的数据全部撤销。ON DUPLICATE KEY UPDATE让重复的学号加课程组合变成更新，适合补录成绩。fgetcsv自动处理 CSV 的引号和逗号转义，比explode安全。$line从 1 开始计数，跳过表头，报错时能定位到具体行号。
参数说明：(float)$row[2]把成绩转浮点，但要注意 CSV 里可能有千分位逗号或空格，必要时先str_replace清理。$row[3] ?? null允许考试日期为空。事务期间不要做耗时操作，比如发邮件或调外部接口，否则锁持有时间过长。如果 CSV 文件很大，可以分批提交，比如每 500 行commit一次再beginTransaction，但这样就不是全量原子性了，需要根据业务容忍度选择。
验证导入结果时，我习惯在导入后跑一条统计 SQL：SELECT COUNT(*), AVG(score), MIN(score), MAX(score) FROM scores WHERE exam_date = ?，和源文件的行数、平均分对一下。如果对不上，说明有行被跳过或重复更新。这个习惯帮我省过好几次后悔药——有一次 CSV 里混了全角逗号，fgetcsv没报错但列数错位，统计一跑就露馅了。希望帮到你。
本文还有配套的精品资源，点击获取
