PHP从MySQL填充的下拉框无法将选中值POST至查询页面

问题场景 #

通过MySQL数据库数据填充下拉菜单，点击提交按钮后跳转至结果页面，根据用户选择展示对应数据。但用户选中的动态生成选项的值无法通过POST传递到下一页，只有硬编码的选项（比如Architectural）能正常触发查询。

问题根源 #

1. 下拉框的form属性无效：<select>标签设置了form="service_line_form"，但表单未配置对应id，导致下拉框不属于当前表单，提交时不会携带该字段值。
2. 动态生成option的语法错误：输出value时多了多余的大括号{}，生成的HTML会变成<option value='{XXX}'>XXX</option>，传递的值带了额外符号，和数据库内容不匹配。
3. 结果页判断逻辑错误：isset($_POST["save"])>0写法错误，isset返回布尔值，与0比较会导致逻辑异常。
4. 存在SQL注入风险：直接将POST参数拼入SQL语句，属于高危写法。

修复步骤 #

1. 修复下拉框代码 #

去掉<select>的无效form属性，修正option输出语法并增加XSS防护：

<div class="servicelinesearchbox">
   <div class="servicelinesearchbar">
        <form class="form-inline" method="post" action="search_by_service_line.php">
              <select name="service_lines" id="service_lines">
                  <option value="">---SELECT A SERVICE LINE---</option>

               <!-- 测试用硬编码选项 -->
                  <option value="Architectural">Architectural</option>
                  <?php
                  $sql = "SELECT service_lines FROM service_lines ORDER BY service_lines";
                  $db = mysqli_query($conn, $sql);
                  while ($d = mysqli_fetch_assoc($db)) {
                      // 转义内容避免XSS，同时去掉多余大括号
                      $line = htmlspecialchars($d['service_lines']);
                      echo "<option value='$line'>$line</option>";
                  }
                  ?>
               </select>  
               <button type="submit" name="save" class="btn btn-primary">SEARCH</button>
       </form>
   </div>
</div>

2. 修复结果页代码 #

修正判断逻辑，改用预处理语句杜绝SQL注入：

<?php
include "config.php";

// 正确判断提交事件，同时校验字段非空
if (isset($_POST["save"]) && !empty($_POST['service_lines'])) {
    $service_lines = $_POST['service_lines'];
    // 预处理语句绑定参数，避免SQL注入
    $sql = "SELECT * FROM subconsultants WHERE service_lines = ?";
    $stmt = mysqli_prepare($conn, $sql);
    mysqli_stmt_bind_param($stmt, "s", $service_lines);
    mysqli_stmt_execute($stmt);
    $result = mysqli_stmt_get_result($stmt);
}
?>

若需模糊匹配，可修改参数和SQL：

$service_lines = "%{$_POST['service_lines']}%";
$sql = "SELECT * FROM subconsultants WHERE service_lines LIKE ?";

验证方法 #

提交表单后，在结果页执行var_dump($_POST)，确认service_lines字段已正常传递；同时查看页面源码，确认动态生成的option的value属性与显示文本一致。

内容的提问来源于stack exchange，提问作者zth_codes