PHP农民注册表单else分支未执行问题排查及修复咨询

问题根源 #

• 逻辑顺序完全搞反：你现在是先执行INSERT插入操作，再去检查是否有重复数据。当存在重复ID/手机号时，INSERT会因为表的唯一约束（假设user_id或phone是唯一键）直接失败，此时代码进入else分支，但elseif的判断逻辑依赖之前的查询，还存在空值报错的问题，导致分支根本执行不到。
• 重复判断逻辑不严谨：直接用$ros['user_id'] || $ros['phone']判断，如果查询结果为空（比如第一次注册时），$ros是false，直接访问数组元素会触发PHP警告，代码中断。
• SQL注入高危风险：直接把用户输入拼到SQL语句里，没有任何防护，很容易被注入攻击。
• 密码加密不安全：md5已经被破解，完全不适合用来存密码。
• 表单重复提交没彻底解决：history.replaceState只是修改浏览器历史记录，刷新页面还是会触发表单重提交提示。

修复步骤&完整代码 #

核心修复思路 #

1. 先检查重复数据，确认无重复后再执行插入操作
2. 用mysqli_num_rows()判断查询结果行数，避免空值访问报错
3. 改用预处理语句绑定参数，彻底杜绝SQL注入
4. 替换为PHP官方推荐的password_hash()加密密码
5. 插入成功后通过重定向彻底解决表单重复提交问题

<?php
// 假设$conn是已建立好的mysqli数据库连接
if ($_SERVER['REQUEST_METHOD'] === 'POST') {
    // 接收表单数据
    $farmer_id = $_POST['frm_id'];
    $farmer_name = $_POST['frm_name'];
    // 用安全方式加密密码，自动生成随机盐值
    $password = password_hash($_POST['pwd'], PASSWORD_DEFAULT);
    $phone_number = $_POST['phone_no'];
    $email = $_POST['email'];

    // 第一步：检查是否存在重复的ID或手机号
    $check_sql = "SELECT * FROM `farmers` WHERE `user_id` = ? OR `phone` = ?";
    $stmt = mysqli_prepare($conn, $check_sql);
    // 绑定参数，"ss"表示两个字符串类型参数
    mysqli_stmt_bind_param($stmt, "ss", $farmer_id, $phone_number);
    mysqli_stmt_execute($stmt);
    $result = mysqli_stmt_get_result($stmt);

    if (mysqli_num_rows($result) > 0) {
        // 存在重复，弹出提示
        echo "<script>
            alert('Oops, it seems a farmer with that ID or Phone number has already been registered');
            window.history.replaceState(null, null, window.location.href);
        </script>";
    } else {
        // 无重复，执行插入操作
        $insert_sql = "INSERT INTO `farmers` (`user_id`, `name`, `password`, `phone`, `email`) VALUES (?, ?, ?, ?, ?)";
        $stmt_insert = mysqli_prepare($conn, $insert_sql);
        mysqli_stmt_bind_param($stmt_insert, "sssss", $farmer_id, $farmer_name, $password, $phone_number, $email);
        
        if (mysqli_stmt_execute($stmt_insert)) {
            // 插入成功，重定向到当前页面，彻底解决重复提交
            header("Location: " . $_SERVER['PHP_SELF']);
            exit();
        } else {
            // 插入失败，显示具体错误信息
            echo "<script>
                alert('Error: " . mysqli_error($conn) . "');
                window.history.replaceState(null, null, window.location.href);
            </script>";
        }
    }
}
?>

补充说明 #

• 重定向方案：插入成功后跳转，浏览器会发起新的GET请求，此时历史记录中不再包含表单提交的POST请求，刷新页面不会触发表单重提交提示。
• 预处理语句：通过参数绑定机制，完全避免用户输入直接拼接进SQL语句，彻底防范SQL注入攻击。
• 密码安全：password_hash()生成的哈希值包含随机盐值，无需手动存储盐；登录时只需调用password_verify($_POST['pwd'], $stored_password)即可验证密码正确性。

内容的提问来源于stack exchange，提问作者Maxswell