如何提交并获取可重复多行表单中多选字段的全部值？

问题分析 #

当前动态添加行的表单中，docname1多选字段只能获取第一个选中值，核心问题在于表单字段命名与PHP接收逻辑的匹配性，同时代码存在SQL注入风险，以下是具体修复方案：

1. 修正HTML多选字段命名 #

确保动态添加的每一行中，多选字段的name属性统一为docname1[][]（初始行已设置，但需保证新增行复制时不修改该命名）。此命名会让PHP将每行的多选值解析为二维数组：外层数组对应行索引，内层数组对应该行多选的所有选中值。

修正后的初始行多选代码：

<td><select class="chosen-select" name="docname1[][]" multiple>
    <!-- 选项内容 -->
</select></td>

2. 优化行数统计逻辑 #

当前用count($_POST['city'])统计行数，若city字段为空或未提交会导致计数错误。建议在每行添加隐藏字段确保行数准确：

在每行任意位置添加：

<input type="hidden" name="row_identifier[]" value="1">

PHP中改为：

$numRows = count($_POST['row_identifier']);

3. 正确处理多选字段取值 #

确保PHP能读取每行的所有多选值，同时处理未选中任何值的情况：

// 处理多选字段docname1
$docname1Array = isset($_POST['docname1'][$i]) ? (array)$_POST['docname1'][$i] : [];
$docname1 = implode(',', array_map(function($val) use ($con) {
    return mysqli_real_escape_string($con, $val);
}, $docname1Array));

通过array_map对每个选中值做转义，避免SQL注入。

4. 改用预处理语句消除SQL注入风险 #

直接拼接SQL存在严重安全隐患，替换为mysqli预处理语句：

// 准备预处理语句
$sqlInsertItem = "INSERT INTO iap44 (country, state, city, qty, price1, tot4, docname1) 
                  VALUES (?, ?, ?, ?, ?, ?, ?)";
$stmt = mysqli_prepare($con, $sqlInsertItem);

// 绑定参数（s代表字符串类型，可根据字段实际类型调整）
mysqli_stmt_bind_param($stmt, "sssssss", $country, $state, $city, $qty, $price1, $tot4, $docname1);

// 执行语句
mysqli_stmt_execute($stmt);

// 检查执行结果
if (mysqli_stmt_affected_rows($stmt) <= 0) {
    echo "Error: " . mysqli_stmt_error($stmt);
}

// 关闭语句
mysqli_stmt_close($stmt);

完整修正后的PHP代码示例 #

if (isset($_POST['submit'])) {
    // 数据库连接$con的声明
    $numRows = count($_POST['row_identifier']);  // 通过隐藏字段获取准确行数

    for ($i = 0; $i < $numRows; $i++) {
        // 处理多选字段docname1
        $docname1Array = isset($_POST['docname1'][$i]) ? (array)$_POST['docname1'][$i] : [];
        $docname1 = implode(',', array_map(function($val) use ($con) {
            return mysqli_real_escape_string($con, $val);
        }, $docname1Array));

        // 读取并转义其他字段
        $country = mysqli_real_escape_string($con, $_POST['country'][$i] ?? '');
        $state = mysqli_real_escape_string($con, $_POST['state'][$i] ?? '');
        $city = mysqli_real_escape_string($con, $_POST['city'][$i] ?? '');
        $qty = mysqli_real_escape_string($con, $_POST['qty'][$i] ?? '');
        $price1 = mysqli_real_escape_string($con, $_POST['price1'][$i] ?? '');
        $tot4 = mysqli_real_escape_string($con, $_POST['tot4'][$i] ?? '');

        // 预处理SQL并执行
        $sqlInsertItem = "INSERT INTO iap44 (country, state, city, qty, price1, tot4, docname1) 
                          VALUES (?, ?, ?, ?, ?, ?, ?)";
        $stmt = mysqli_prepare($con, $sqlInsertItem);
        mysqli_stmt_bind_param($stmt, "sssssss", $country, $state, $city, $qty, $price1, $tot4, $docname1);
        mysqli_stmt_execute($stmt);

        if (mysqli_stmt_affected_rows($stmt) <= 0) {
            echo "Error: " . mysqli_stmt_error($stmt);
        }
        mysqli_stmt_close($stmt);
    }

    // 调试输出（可选）
    echo "<pre>";
    print_r($_POST);    
    echo "</pre>";

    mysqli_close($con);
}

额外检查点 #

• 确保动态添加行的JS代码中，复制的select元素name属性保持为docname1[][]，不被修改。
• 可暂时禁用chosen-select插件，测试原生多选是否正常提交，排查插件是否影响值的传递。

内容的提问来源于stack exchange，提问作者user2021672