PHP标签（如）用于包裹执行数据库查询的PHP代码，必须配合MySQLi或PDO等接口建立连接、调用query/prepare/execute方法并处理结果，严禁直接拼接SQL字符串，须使用预处理语句防止SQL注入。
PHP 标签本身不是“加在数据库查询中”的，而是用来包裹 PHP 代码，让服务器执行这些代码（包括数据库操作）。关键不是“怎么加标签”，而是如何在 PHP 代码中安全、正确地执行数据库查询。
下面分几个实用要点说明：
1. 正确使用 PHP 开始/结束标签
最常用的是标准标签：
…… ?>
比如：
$mysqli = new mysqli("localhost", "user", "pass", "db");
$result = $mysqli->query("SELECT * FROM users");
?>
2. 查询不能直接写在 HTML 里，必须放在 PHP 标签内
以下写法是错的（HTML 中直接写 SQL）：SELECT * FROM products —— 浏览器不会执行，数据库也收不到。
正确做法：把查询语句放在 里面，并用 PHP 数据库扩展（如 MySQLi 或 PDO）执行。
立即学习“PHP免费学习笔记（深入）”；
3. 必须通过 PHP 数据库接口执行查询，不能“拼字符串”就完事
例如，不要这样（极不安全，且不会执行）：
echo "SELECT name FROM users"; ?>
而要这样（创建连接 + 执行查询）：
- 建立数据库连接（MySQLi 或 PDO）
- 调用
query()、prepare()、execute()等方法 - 处理返回结果（如
fetch_assoc()）
4. 强烈建议用预处理语句防 SQL 注入
用户输入绝不能直接拼进 SQL。例如：
$stmt = $pdo->prepare("SELECT * FROM users WHERE id = ?");
$stmt->execute([$_GET['id']]);
$user = $stmt->fetch();
?>
这才是既用了 PHP 标签，又真正让查询安全运行的方式。
