MySQL表单提交更新异常：仅fullname列被设为0求解决

我编写了一个通用函数用于更新MySQL数据表，但目前代码无法正常修改数据库，仅会将fullname列的值改为0。以下是原代码：

<?php
include('../config.php');
if (isset($_POST['loginfo'])) {
    if (update_table('users','id =2 And password =12345')== true){
        echo "Success";
    }
}

//>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>
function update_table($tablename,$creteria) {                                                       //>>>>
    $sql = "UPDATE ".$tablename. " set ";                                                               //>>>>
    $postdata = $_POST;                                                                                         //>>>>
    $count = 0;                                                                                                     //>>>>
    $i = 0;                                                                                                           //>>>>
    foreach ($postdata as $key => $value) {                                                             //>>>>
               $i++;                                                                                                   //>>>>
               $count = count($postdata);                                                                     //>>>>
               if (!empty($value)) {                                                                            //>>>>
               $sql .= " $key = '$value' ";                                                                 //>>>>
               $sql .= $i == $count ? " " : " AND ";  }                                             //>>>>
    }                                                                                                                       //>>>>  
    $sql .= " where ". $creteria;                                                                             //>>>>
    $MYDB = mysqli_connect(DB_HOSTNAME, DB_USERNAME, DB_PASSWORD, DB_DATABASE); //>>>>      
    if (mysqli_query($MYDB, $sql)){                                                                         //>>>>      
            echo "<pre>";                                                                                             //>>>>
            print_r($postdata);                                                                                 //>>>>
            return true;                                                                                              //>>>>
        }                                                                                                                   //>>>>
    $MYDB -> close();                                                                                               //>>>>
}                                                                                                                           //>>>>
///>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>

?>

<!DOCTYPE html>
<html>
<head>
<style>
table, th, td {
  border: 1px solid;
}
</style>
</head>
<body>
<form method="post">
    <input type="hidden" name="loginfo">
    <label for="id"> id </label>
    <input type="text" name="id">
    <label for="fullname"> Full Name </label>   
    <input type="text" name="fullname">
    <label for="email"> Email </label>  
    <input type="text" name="email">
    <label for="phone"> Phone </label>      
    <input type="text" name="phone">
    <label for="company"> Company </label>      
    <input type="text" name="company">
    <label for="password"> Password </label>    
    <input type="text" name="password">
    <input type="submit"> 
</form>

       
</body>
</html>

数据表结构：包含id（int类型）、fullname、email、phone、company、password（均为varchar类型）字段。

错误原因分析 #

1. SET子句语法错误：UPDATE语句中多字段赋值需用**逗号（,）**分隔，原代码用AND会导致SQL逻辑完全混乱，这是fullname被错误设为0的核心原因。
2. 未过滤无关参数：表单中的loginfo隐藏字段被纳入POST数据，会生成无效的SQL赋值语句，破坏整体结构。
3. SQL注入风险：直接拼接用户输入到SQL中，不仅有安全隐患，还会因特殊字符（如单引号）引发语法错误。
4. 连接管理混乱：数据库连接仅在查询失败时关闭，成功时会导致连接泄漏；且未判断连接是否成功。
5. 空值处理不严谨：空值字段跳过但计数仍累加，可能导致SQL末尾出现多余分隔符，引发语法错误。

修正后的代码 #

<?php
include('../config.php');

// 初始化数据库连接并检查
$MYDB = mysqli_connect(DB_HOSTNAME, DB_USERNAME, DB_PASSWORD, DB_DATABASE);
if (!$MYDB) {
    die("数据库连接失败: " . mysqli_connect_error());
}

if (isset($_POST['loginfo'])) {
    // 排除不需要更新的字段
    $excludeFields = ['loginfo'];
    $updateData = array_diff_key($_POST, array_flip($excludeFields));
    
    if (update_table($MYDB, 'users', 'id = 2 AND password = 12345', $updateData)) {
        echo "更新成功";
    } else {
        echo "更新失败: " . mysqli_error($MYDB);
    }
}

function update_table($dbConn, $tablename, $criteria, $updateData) {
    if (empty($updateData)) {
        return false; // 无更新字段直接返回
    }

    $sqlParts = [];
    $params = [];
    $paramTypes = '';

    // 构建预处理SQL的SET子句和参数数组
    foreach ($updateData as $key => $value) {
        if (empty($value)) {
            continue; // 跳过空值，可根据需求调整是否允许设空
        }
        $sqlParts[] = "`$key` = ?";
        $params[] = $value;
        // 自动识别参数类型，数字用i，其他用s
        $paramTypes .= is_numeric($value) ? 'i' : 's';
    }

    if (empty($sqlParts)) {
        return false;
    }

    $sql = "UPDATE `$tablename` SET " . implode(', ', $sqlParts) . " WHERE $criteria";
    
    // 初始化预处理语句
    $stmt = mysqli_prepare($dbConn, $sql);
    if (!$stmt) {
        return false;
    }

    // 绑定参数
    mysqli_stmt_bind_param($stmt, $paramTypes, ...$params);
    
    // 执行语句
    $result = mysqli_stmt_execute($stmt);
    
    mysqli_stmt_close($stmt);
    return $result;
}

// 统一关闭数据库连接
mysqli_close($MYDB);
?>

<!DOCTYPE html>
<html>
<head>
<style>
table, th, td {
  border: 1px solid;
}
</style>
</head>
<body>
<form method="post">
    <input type="hidden" name="loginfo">
    <label for="id"> ID </label>
    <input type="text" name="id">
    <label for="fullname"> 全名 </label>   
    <input type="text" name="fullname">
    <label for="email"> 邮箱 </label>  
    <input type="text" name="email">
    <label for="phone"> 电话 </label>      
    <input type="text" name="phone">
    <label for="company"> 公司 </label>      
    <input type="text" name="company">
    <label for="password"> 密码 </label>    
    <input type="text" name="password">
    <input type="submit" value="提交"> 
</form>
</body>
</html>

关键修改说明 #

1. 修复SQL语法：用逗号分隔SET子句的字段赋值，符合MySQL语法规范。
2. 过滤无关字段：移除loginfo这类不需要更新的参数，避免无效SQL语句。
3. 使用预处理语句：彻底规避SQL注入风险，同时解决特殊字符导致的语法错误。
4. 优化连接管理：提前创建连接并统一关闭，增加连接失败的错误提示。
5. 严谨的空值处理：跳过空值字段，确保SQL语句结构正确。
6. 增加错误反馈：返回具体错误信息，便于调试排查问题。

内容的提问来源于stack exchange，提问作者musab