勾选多选框后将选中商品批量插入数据库的PHP实现问题

方法一：前端传递完整商品字段 #

修改前端商品项的表单结构，把每个商品的product_name、product_price等字段作为隐藏域，和复选框绑定成一组，确保勾选时能一并提交。

前端代码修改示例 #

假设原商品项HTML如下：

<div class="product-item">
  <h3><?php echo $product['product_name']; ?></h3>
  <p>价格：¥<?php echo $product['product_price']; ?></p>
  <input type="checkbox" name="selected_pids[]" value="<?php echo $product['productID']; ?>">
</div>

调整为数组分组结构：

<div class="product-item">
  <h3><?php echo $product['product_name']; ?></h3>
  <p>价格：¥<?php echo $product['product_price']; ?></p>
  <input type="checkbox" name="selected_products[<?php echo $product['productID']; ?>][pid]" value="<?php echo $product['productID']; ?>">
  <input type="hidden" name="selected_products[<?php echo $product['productID']; ?>][name]" value="<?php echo htmlspecialchars($product['product_name']); ?>">
  <input type="hidden" name="selected_products[<?php echo $product['productID']; ?>][price]" value="<?php echo $product['product_price']; ?>">
</div>

后端add_selection_script.php处理逻辑 #

// 从会话或其他渠道获取当前用户的userID
$userID = $_SESSION['user_id'];

if(isset($_POST['selected_products'])){
  foreach($_POST['selected_products'] as $product){
    // 跳过未勾选的商品（复选框未勾选时不会提交对应数据）
    if(empty($product['pid'])) continue;
    
    $pid = $product['pid'];
    $name = $product['name'];
    $price = $product['price'];
    
    // 预处理SQL防注入
    $stmt = $pdo->prepare("INSERT INTO selection (userID, productID, product_name, product_price) VALUES (?, ?, ?, ?)");
    $stmt->execute([$userID, $pid, $name, $price]);
  }
}

方法二：后端通过PID回查商品字段 #

如果不想修改前端，可在后端拆分逗号分隔的PID后，批量查询商品表获取字段，再插入selection表。

后端add_selection_script.php处理逻辑 #

$userID = $_SESSION['user_id'];
$pids = $_POST['selected_pids']; // 逗号分隔的PID字符串
$pidArray = array_filter(explode(',', $pids)); // 拆分并过滤空值

// 批量查询商品信息
$placeholders = implode(',', array_fill(0, count($pidArray), '?'));
$stmt = $pdo->prepare("SELECT productID, product_name, product_price FROM products WHERE productID IN ($placeholders)");
$stmt->execute($pidArray);
$products = $stmt->fetchAll(PDO::FETCH_ASSOC);

// 遍历插入选中记录
foreach($products as $product){
  $insertStmt = $pdo->prepare("INSERT INTO selection (userID, productID, product_name, product_price) VALUES (?, ?, ?, ?)");
  $insertStmt->execute([$userID, $product['productID'], $product['product_name'], $product['product_price']]);
}

关键注意事项 #

• 必须使用预处理SQL语句，避免SQL注入风险，绝对不能直接拼接用户输入到SQL中。
• 前端传递的字段值要用htmlspecialchars()转义，防止XSS攻击和表单提交异常。
• 两种方法都要处理空选中的情况，避免执行无效的数据库操作。

内容的提问来源于stack exchange，提问作者Kashmiri Ammar