个人资料页头像展示PHP代码问题：exit/die失效、安全性与优化咨询

现有代码情况 #

参考的示例代码 #

<div id="display-image">
    <?php
    
    $query = " select * from image ";
    $result = mysqli_query($db, $query);
 
    while ($data = mysqli_fetch_assoc($result)) { ?>
        <img src="./image/<?php echo $data['filename']; ?> "> 
    <?php } ?>
</div>

自己编写的图片显示代码（upload.php） #

<?php
// This page uploads the profile pic into the profile page
include("database_connection.php");

$user = $_SESSION['active_user']['username'];
$get_img = "SELECT * FROM test WHERE User='$user' LIMIT 1";

$runit = mysqli_query($db,$get_img);
while($pic = mysqli_fetch_assoc($runit)) { ?>
    <img src="img/<?php echo $pic['image_file01']; ?>" ><?php
    exit(0); 
}
?>

个人资料页引入方式 #

<div class="body-align-left">
    <br><br>
    <!-- Profile Image-->
    <?php include('upload.php'); ?>
</div>

疑问解答与优化方案 #

1. exit/die导致页面无法加载的原因 #

你在while循环里用exit(0)，会直接终止整个PHP脚本的执行。因为upload.php是被include到个人资料页中的，一旦执行exit，后续页面的HTML和PHP代码都不会被处理输出，所以页面无法完全加载。直接去掉exit语句即可解决这个问题。

2. while语句是否是最佳方式 #

你的SQL语句加了LIMIT 1，只会返回最多一条用户的头像记录，用while循环完全没必要，反而会让人误解有多条数据。更简洁的写法是直接获取单条记录，再判断是否存在：

<?php
include("database_connection.php");

if (!isset($_SESSION['active_user']['username'])) {
    // 处理用户未登录的情况，比如输出占位图
    echo '<img src="img/default-avatar.png" alt="默认头像">';
    exit;
}

$user = $_SESSION['active_user']['username'];
$get_img = "SELECT image_file01 FROM test WHERE User=? LIMIT 1";
$stmt = mysqli_prepare($db, $get_img);
mysqli_stmt_bind_param($stmt, "s", $user);
mysqli_stmt_execute($stmt);
$result = mysqli_stmt_get_result($stmt);
$pic = mysqli_fetch_assoc($result);

if ($pic && !empty($pic['image_file01'])) {
    // 过滤路径，防止遍历攻击
    $safe_filename = basename($pic['image_file01']);
    echo '<img src="img/' . $safe_filename . '" alt="用户头像">';
} else {
    // 无头像时显示默认图
    echo '<img src="img/default-avatar.png" alt="默认头像">';
}
?>

3. 现有代码的安全性问题 #

• SQL注入风险：直接把$user变量拼接到SQL语句中，如果username被恶意构造（比如包含SQL特殊字符），就会触发SQL注入，导致数据库被攻击。必须用预处理语句绑定参数，避免直接拼接变量。
• 路径遍历攻击风险：如果数据库中存储的image_file01字段被篡改（比如包含../这样的路径），输出时可能导致攻击者访问服务器上的其他文件。解决方法是用basename()函数获取纯文件名，过滤掉路径部分。

4. 更好的实现方案总结 #

• 去掉exit/die语句，避免终止整个页面的执行。
• 用单条记录获取替代while循环，逻辑更清晰。
• 强制使用预处理语句防范SQL注入。
• 对输出的文件名进行安全处理，防止路径遍历。
• 增加异常处理（比如用户未登录、无头像时显示默认图），提升页面健壮性。

内容的提问来源于stack exchange，提问作者Antonio