PHP开发笔记编辑器：如何获取表单按钮携带的指定笔记数据

算力阿峰

2026-6-16

问题解决思路与代码修正

核心问题拆解

你当前代码存在几个关键问题：

所有笔记卡片、内容容器、标题/文本元素都用了相同ID（notesCard、noteContent等），ID是页面唯一标识，重复会导致后续JS或DOM操作混乱。
SQL语句直接拼接用户输入（$_SESSION['id_user']、$delete），存在严重的SQL注入风险。
编辑按钮仅传递了笔记ID，若想获取其他数据，要么在目标页面查库，要么通过表单隐藏字段传递（但需注意安全）。

修正方案与代码示例

1. 修复重复ID问题

把所有静态ID改成带笔记ID的动态值，确保页面内唯一：

$sql = "SELECT * FROM notes WHERE id_user = ?";
$stmt = mysqli_prepare($mySql, $sql);
mysqli_stmt_bind_param($stmt, "i", $_SESSION['id_user']);
mysqli_stmt_execute($stmt);
$result = mysqli_stmt_get_result($stmt);

if($result) {
  $results='';
  foreach($result as $row) {
      $noteId = $row['id_notes'];
      $results.= '<section class="notes-section section" id="notesCard-'.$noteId.'">
                    <div id="noteContent-'.$noteId.'" class="note-content">
                        <div class="note-h2"><h2 id="headingH2-'.$noteId.'">'.$row['heading'].'</h2></div>
                        <div class="note-text"><p id="textArea-'.$noteId.'">'.$row['text_content'].'</p></div>
                        <div class="note-panel">
                            <label id="dateNotes-'.$noteId.'" for="">'.$row['date'].'</label>
                            <!-- 编辑表单：传递ID，后续在editNote.php查库获取完整数据 -->
                            <form action="editNote.php" method="post">
                               <button name="editNotes" class="insert-btn btn" value="'.$noteId.'">Изменить</button>
                            </form>
                            <!-- 删除表单：单独表单避免提交冲突 -->
                            <form method="post">
                               <button name="deleteNotes" class="delete-btn btn" value="'.$noteId.'">Удалить</button>
                            </form>
                        </div>
                    </div>
               </section>';
  }
  echo $results;
} else {
  echo "Что-то пошло не так...";
}

2. 安全处理删除逻辑（用预处理语句防注入）

if (isset($_POST['deleteNotes']) && is_numeric($_POST['deleteNotes'])) {
  $delete = $_POST['deleteNotes'];
  $stmt = mysqli_prepare($mySql, "DELETE FROM `notes` WHERE `id_notes` = ?");
  mysqli_stmt_bind_param($stmt, "i", $delete);
  if (mysqli_stmt_execute($stmt)) {
      echo '<script>window.location = "./notes.php"</script>';
  } else {
      echo "Ошибка при удалении: " . mysqli_error($mySql);
  }
}

3. 获取笔记完整数据的两种方式

方式一：编辑页面（editNote.php）查库（推荐，安全可靠）

在editNote.php中接收ID，查询数据库获取所有数据：

if (isset($_POST['editNotes']) && is_numeric($_POST['editNotes'])) {
  $noteId = $_POST['editNotes'];
  $stmt = mysqli_prepare($mySql, "SELECT * FROM notes WHERE id_notes = ? AND id_user = ?");
  mysqli_stmt_bind_param($stmt, "ii", $noteId, $_SESSION['id_user']);
  mysqli_stmt_execute($stmt);
  $note = mysqli_stmt_get_result($stmt)->fetch_assoc();
  
  // 后续用$note['heading']、$note['text_content']等填充编辑表单
}

方式二：当前页面通过隐藏字段传递数据（需防XSS）

如果非要在按钮属性或表单中直接传递数据，可添加隐藏字段（记得用htmlspecialchars转义）：

// 在编辑表单内添加隐藏字段
<form action="editNote.php" method="post">
  <input type="hidden" name="noteId" value="'.$noteId.'">
  <input type="hidden" name="heading" value="'.htmlspecialchars($row['heading'], ENT_QUOTES).'">
  <input type="hidden" name="textContent" value="'.htmlspecialchars($row['text_content'], ENT_QUOTES).'">
  <input type="hidden" name="date" value="'.$row['date'].'">
  <button name="editNotes" class="insert-btn btn">Изменить</button>
</form>

在editNote.php中直接接收：

$heading = $_POST['heading'];
$textContent = $_POST['textContent'];
// ... 后续处理

额外注意事项

始终用预处理语句处理SQL查询，杜绝SQL注入。
输出用户输入的内容时，用htmlspecialchars转义，防止XSS攻击。
每个笔记的表单尽量单独拆分（比如删除单独一个表单），避免多个按钮在同一表单内导致的提交冲突。

内容的提问来源于stack exchange，提问作者Ali Ibragimov