CodeIgniter3如何不通过URL参数将视图记录数据传递给控制器

核心实现思路是放弃GET方式的a标签跳转，改用POST表单提交数据，完全不把参数暴露在URL中，也没有URL长度限制问题。

1. 改造前端视图代码 #

将原来拼接URL的a标签替换为独立的POST表单，当前记录的所有字段以隐藏域形式存放在表单内，提交时随请求一起发送到控制器：

<!-- 替换原有<a>标签的代码 -->
<form action="<?= base_url() ?>book/edit_book" method="POST" class="d-inline">
    <!-- 逐条添加图书记录的字段作为隐藏域 -->
    <input type="hidden" name="book[book_id]" value="<?= html_escape($book['book_id']) ?>">
    <input type="hidden" name="book[book_name]" value="<?= html_escape($book['book_name']) ?>">
    <input type="hidden" name="book[author]" value="<?= html_escape($book['author']) ?>">
    <input type="hidden" name="book[description]" value="<?= html_escape($book['description']) ?>">
    <!-- 其余图书字段按照上述格式追加即可 -->
    <button type="submit" class="dropdown-item" style="border:none; background:transparent; cursor:pointer;">
        Update
    </button>
</form>

注意事项：

• 所有输出到表单value的内容必须用html_escape()转义，避免特殊字符导致表单渲染异常，同时防范XSS风险
• 给按钮加样式清除默认按钮边框、背景，视觉效果和原来的a标签完全一致，不会影响原有下拉菜单的交互体验

2. 改造控制器接收逻辑 #

控制器端不再读取GET参数，改为接收POST传递的全量数组：

public function edit_book()
{
    // 获取POST提交的完整图书数据，第二个参数TRUE开启全局XSS过滤
    $book_data = $this->input->post('book', TRUE);

    // 基础合法性校验
    if (empty($book_data) || empty($book_data['book_id'])) {
        show_404();
    }

    // 重要：不要完全信任前端传递的全量数据，编辑场景建议拿到book_id后二次查询数据库做校验
    // 既可以避免用户篡改隐藏域提交非法数据，也能防止越权操作
    // $book_real = $this->book_model->get_by_id($book_data['book_id']);

    // 原有业务逻辑直接基于$book_data处理即可，无需拼接带参数的URL
}

方案注意点 #

• 禁止把全量数据拼接在URL中传递：GET请求的URL长度受浏览器、web服务器配置限制，长文本字段（如图书简介、备注）很容易被截断导致传参失败，同时数据全量暴露在地址栏也存在安全风险
• 如果需要无刷新交互，可以把普通表单提交换成AJAX POST提交，后端逻辑不需要改动，前端根据返回结果做跳转或局部渲染即可
• 涉及数据写入、更新的操作，必须以前端传递的主键ID为依据做数据库二次校验，确认记录存在、当前操作人有权限后再执行后续逻辑，不要直接用前端传过来的全量数据落库。

内容的提问来源于stack exchange，提问作者dev