PHP获取复选框值异常：返回所有选项而非仅勾选项问题

问题根源 #

你的代码会把隐藏域值也一并获取，核心原因有两个：

1. 隐藏域的name和复选框前缀一致（均以baños_opcion开头），循环匹配时会被误判
2. 隐藏域无论复选框是否勾选，都会被强制提交到$_POST，isset($_POST[$key])对隐藏域永远返回true

另外必须提醒：你的代码存在严重SQL注入风险，直接将用户输入拼接到SQL语句里是生产环境绝对禁止的操作，下文会同步修复这个问题。

修复方案 #

方案1：调整HTML命名（推荐，逻辑更清晰） #

把所有复选框的name统一设置为数组格式，同时移除不必要的隐藏域（或给隐藏域换个与复选框不冲突的命名）：

<!-- 直接用数组式name，只有勾选的复选框才会被提交 -->
<input type="checkbox" name="baños_opcion[]" value="ninguno: 0m" />
<input type="checkbox" name="baños_opcion[]" value="toilette: 2.10m" />
<input type="checkbox" name="baños_opcion[]" value="simple: 4.32m" />
<input type="checkbox" name="baños_opcion[]" value="Antebaño: 8.46m" />

PHP端直接获取数组即可，无需循环过滤：

// 处理未勾选的情况，避免报错
$checkboxValues = isset($_POST['baños_opcion']) ? $_POST['baños_opcion'] : [];
$toilette = implode(", ", $checkboxValues);

方案2：不修改HTML，在PHP中过滤 #

如果无法调整HTML代码，可通过值的特征区分隐藏域和复选框（隐藏域的值包含冒号，复选框值为纯数字）：

$checkboxValues = [];
foreach ($_POST as $key => $value) {
    // 仅保留baños_opcion开头且值不含冒号的项（即勾选的复选框）
    if (strpos($key, 'baños_opcion') === 0 && !str_contains($value, ':')) {
        $checkboxValues[] = $value;
    }
}
$toilette = implode(", ", $checkboxValues);

注：该方法依赖值的格式约定，不如方案1稳定。

关键：修复SQL注入问题 #

针对WordPress环境，必须使用$wpdb的预处理语句来执行数据库操作：

global $wpdb;
$table_name = $wpdb->prefix . 'form_submissions';

// 安全插入数据，自动处理转义
$wpdb->insert(
    $table_name,
    [
        'nombre' => $nombre,
        'apellido' => $apellido,
        'email' => $email,
        'observaciones' => $observaciones,
        'resultado' => $resultado,
        'toilette' => $toilette
    ],
    [
        '%s', '%s', '%s', '%s', '%s', '%s' // 对应字段的数据类型
    ]
);

内容的提问来源于stack exchange，提问作者Fran