PHP使用MySQLi实现数据库记录修改与回显

阿澈

发布时间：2026-10-14 | 2人浏览过

原创

在使用PHP进行Web开发时，修改数据库记录是常见需求。原始示例展示了基于表单的修改逻辑，但其中包含致命的安全隐患（如直接拼接$_POST数据）和代码缺陷。本文将剖析这些错误，并提供符合现代安全标准的正确实现方法。

原始代码的问题分析

在传统的PHP教程中，常可见类似以下简化的修改逻辑。虽然结构上实现了“查询-展示-修改”的闭环，但在实际生产环境中存在严重问题：

SQL注入风险：$sql = "UPDATE animal SET WHERE ID = '$_POST[id]'"; 直接拼接用户输入，攻击者可随意篡改数据库内容。
语法错误：UPDATE 语句缺少 SET 字段指定，导致SQL语法错误。
函数调用错误：mysqli_query($sql) 缺少连接资源参数；且未正确处理 $mysqli 对象实例。
XSS漏洞：直接在HTML中输出 $row 数据而未转义，可能导致跨站脚本攻击。

准备条件

数据库环境：确保已创建MySQL数据库及对应的表（例如包含 ID, country, animal 等字段的 animal 表）。
连接配置：准备好数据库主机名、用户名、密码及数据库名称。
技术栈：PHP 7.0+ 支持 mysqli 或 PDO 扩展。

第1步：建立数据库连接

首先，创建一个安全的数据库连接实例。建议使用持久化配置变量，便于维护。

$servername = "localhost";
$username = "username";
$password = "password";
$dbname = "myDB";

// 创建连接
$conn = new mysqli($servername, $username, $password, $dbname);

// 检查连接
if ($conn->connect_error) {
    die("连接失败: " . $conn->connect_error);
}

第2步：构建带参数的查询与表单回显

为了获取可编辑的记录，需要查询数据。在处理显示逻辑时，务必对输出内容进行转义以防止XSS。

// 查询数据
$sql = "SELECT ID, country, animal FROM animal";
$result = $conn->query($sql); 

if ($result->num_rows > 0) {
    echo "<form action=\"update.php\" method=\"post\">";
    echo "<table border='1'>";
    while($row = $result->fetch_assoc()) {
        echo "<tr>";
        // 隐藏ID用于提交
        echo "<td><input type='hidden' name='id' value='" . htmlspecialchars($row["ID"]) . "' />";
        // 可编辑字段
        echo "<td><input name='country' type='text' value='" . htmlspecialchars($row["country"]) . "'/></td>";
        echo "<td><input name='animal' type='text' value='" . htmlspecialchars($row["animal"]) . "' /></td>";
        echo "<td><input name='btnModify' type='submit' value='修改' /></td>";
        echo "</tr>";
    }
    echo "</table>";
    echo "</form>";
} else {
    echo "0 结果";
}
$conn->close();

第3步：接收表单并执行安全更新

当用户点击“修改”后，处理页面需验证输入并使用预处理语句（Prepared Statements）来防止SQL注入。这是现代PHP开发的必选步骤。

if(isset($_POST['btnModify'])) {
    // 获取并清理输入
    $id = $_POST['id'];
    $country = $_POST['country'];
    $animal = $_POST['animal'];

    // 预处理SQL语句
    $stmt = $conn->prepare("UPDATE animal SET country = ?, animal = ? WHERE ID = ?");
    
    // 绑定参数 (s代表字符串)
    $stmt->bind_param("sss", $country, $animal, $id);
    
    // 执行更新
    if ($stmt->execute()) {
        echo "修改已经成功！";
    } else {
        echo "修改失败: " . $stmt->error;
    }
    
    // 关闭语句和连接
    $stmt->close();
    $conn->close();
}