PHP中如何通过按钮点击修改SQL数据库的用户类型字段值

你之前想直接通过JS onclick修改字段值的思路走不通：JavaScript运行在用户浏览器端，没有权限直接操作服务器数据库，所有数据修改操作必须通过HTTP请求发给服务端，由PHP完成权限校验后执行SQL更新，具体实现分三步：

1. 补全数据库基础配置 #

你当前的User表未设置主键，先执行以下SQL补全配置，否则定位用户时容易出现数据错误：

ALTER TABLE User ADD PRIMARY KEY (UserID);
ALTER TABLE User MODIFY UserID int NOT NULL AUTO_INCREMENT;

注意：你的表内权限字段名是Type，之前按钮代码里写的Tipo是拼写错误，后续代码要统一字段名，避免查询报错

2. 编写提权后端接口 #

新建promote_user.php文件，核心逻辑包含登录态校验、参数合法性校验、SQL更新执行，代码参考：

<?php
session_start();
// 校验当前操作者为管理员，替换成你自己项目里的登录态校验逻辑
if (!isset($_SESSION['current_user_type']) || $_SESSION['current_user_type'] !== 'admin') {
    exit("无操作权限");
}

// 替换为你自己的数据库连接信息
$conn = mysqli_connect("数据库地址", "数据库账号", "数据库密码", "数据库名");
if (!$conn) {
    exit("数据库连接失败");
}

// 接收并校验要提权的用户ID参数
if (!isset($_GET['uid']) || !is_numeric($_GET['uid'])) {
    exit("参数非法");
}
$uid = intval($_GET['uid']);

// 用预处理语句执行更新，防SQL注入，仅当用户当前身份为user时更新
$stmt = mysqli_prepare($conn, "UPDATE User SET Type = 'admin' WHERE UserID = ? AND Type = 'user'");
mysqli_stmt_bind_param($stmt, "i", $uid);
$exec_result = mysqli_stmt_execute($stmt);

if ($exec_result) {
    // 提权完成后跳回用户列表页，可自行追加成功提示参数
    header("Location: user_list.php?tip=promote_success");
} else {
    exit("提权操作失败，请重试");
}

mysqli_stmt_close($stmt);
mysqli_close($conn);
?>

3. 调整列表页提权按钮代码 #

不需要写复杂的异步请求逻辑，直接把按钮链接指向刚才的提权接口，带上对应用户ID即可，onclick只做二次确认防止误操作。在用户列表循环输出的位置写如下代码：

<?php
// 遍历用户列表时，仅对普通用户显示提权按钮
if ($row['Type'] === 'user') {
?>
<a href="promote_user.php?uid=<?php echo $row['UserID']; ?>" class="btn btn-promote" onclick="return confirm('确认将该用户提升为管理员？')">Promote</a>
<?php
} else {
    echo '<span>已为管理员</span>';
}
?>

必要安全提醒 #

• 所有数据修改逻辑必须放在服务端实现，绝对不要把数据库操作权限暴露给前端，任何人都可以篡改前端代码发起恶意请求
• 所有拼接进SQL的参数必须用预处理语句绑定，不要直接拼接字符串，避免SQL注入风险
• 提权操作建议追加操作日志，记录操作人、操作时间、被提权用户ID，方便后续审计

内容的提问来源于stack exchange，提问作者thechosenjuan