PHP带隐藏输入的表单自动提交异常：form2提交无响应求助

核心问题分析 #

1. 表单ID重复：循环生成的form2使用了相同ID，getElementById只能获取第一个匹配元素，后续表单无法被选中。
2. 提交时机错误：原脚本在页面初始加载时就执行form2.submit()，此时form1尚未提交，$code为空，form2可能未生成。
3. 函数名冲突：自定义的submit函数与表单内置的submit方法重名，导致调用异常。
4. SQL注入风险：直接拼接用户输入的$code到SQL语句中，存在严重安全漏洞。

修改后的完整代码 #

<form method="post" id="form1">
  <div class="products">
    <input type="text" name="code" class="form-control" autofocus required onchange="submitForm1()" />
  </div>
</form>
<?php 
$code = $_POST['code'] ?? '';
// 使用预处理语句防止SQL注入
$query = 'SELECT * FROM product WHERE PRODUCT_CODE = ? GROUP BY PRODUCT_CODE ORDER by PRODUCT_CODE ASC';
$stmt = mysqli_prepare($db, $query);
// 根据PRODUCT_CODE的实际类型调整参数类型（字符串用's'，数字用'i'）
mysqli_stmt_bind_param($stmt, 's', $code);
mysqli_stmt_execute($stmt);
$result = mysqli_stmt_get_result($stmt);
if ($result):
  if(mysqli_num_rows($result)>0):
    while($product = mysqli_fetch_assoc($result)):
?>
<!-- 生成唯一ID，用class统一标识自动提交表单 -->
<form id="form-<?php echo $product['PRODUCT_CODE']; ?>" class="auto-submit-form" method="post" action="pos.php?action=add&id=<?php echo $product['PRODUCT_CODE']; ?>" >
  <input type="hidden" name="quantity" class="form-control" value="1" />
  <!-- 用htmlspecialchars转义输出，避免XSS -->
  <input type="hidden" name="name" value="<?php echo htmlspecialchars($product['NAME']); ?>" />
  <input type="hidden" name="price" value="<?php echo htmlspecialchars($product['PRICE']); ?>" />
  <input type="submit" name="addpos" style="margin-top:5px;width: 462px" class="btn btn-info" value="Add"/>
</form>
<?php 
     endwhile;
    endif;
  endif;
?>
<script>
// 自定义函数改名，避免与表单submit方法冲突
function submitForm1() {
  document.getElementById("form1").submit();
}

// 页面加载完成后执行自动提交
document.addEventListener('DOMContentLoaded', function() {
  const autoSubmitForms = document.querySelectorAll('.auto-submit-form');
  // 提交所有匹配的表单（GROUP BY后通常只有一个）
  autoSubmitForms.forEach(form => form.submit());
});
</script>

关键修改说明 #

• SQL注入防护：采用mysqli预处理语句绑定参数，避免直接拼接用户输入。
• 唯一标识表单：循环生成的表单使用唯一ID，并通过auto-submit-form类统一管理，避免ID冲突。
• 调整提交时机：通过DOMContentLoaded事件确保页面完全加载后再提交form2，此时form1已提交，产品数据已生成。
• 避免函数冲突：将自定义提交函数改名为submitForm1，解决与内置方法的命名冲突。
• XSS防护：输出产品数据时使用htmlspecialchars转义，防止跨站脚本攻击。

内容的提问来源于stack exchange，提问作者lumbaba