搜索表单SQL预处理绑定语句编写遇阻，请求修复帮助

我看到你在切换到预处理语句时遇到了问题——别担心，这是个常见的小误区，咱们一步步来修复它。

问题根源 #

你代码里的核心问题是：在使用$sql->execute()执行预处理语句后，错误地用mysqli_query($conn, $sql)去获取结果。mysqli_query()是用来直接执行普通SQL字符串的，不能用来处理已经通过prepare()创建的预处理语句对象，这就是导致功能失效的原因。

修复后的完整代码 #

<?php
// Define Database connection parameters
$dbserver = "localhost";
$username = "root";
$password = "";
$dbname = "student";

// Connect to the database
$conn = mysqli_connect($dbserver, $username, $password, $dbname) or die('I can not connect to the database');

// Capture user input (预处理绑定已自动防护注入，无需额外转义)
$study_group = $_POST['matric_number'];

// Prepare the SQL statement & check for errors
$sql = $conn->prepare("SELECT * FROM study_circle WHERE matric = ?");
if (!$sql) {
    die("Prepare failed: " . $conn->error);
}

// Bind parameter and execute the statement
$sql->bind_param('s', $study_group);
$sql->execute();

// Get the result set from the executed prepared statement
$results = $sql->get_result();

// Check number of returned rows
$mysqlResults = mysqli_num_rows($results);

if ($mysqlResults > 0) {
    while ($row = mysqli_fetch_assoc($results)) {
        // Display results
        echo "<div><h4>" . $row['full_name'] . "</h4></div>";
    }
} else {
    echo "Please Ensure your Matric Number is correct, We can not find anything relating to your data";
}

// Clean up resources
$sql->close();
$conn->close();
?>

关键修复点说明 #

• 替换mysqli_query($conn, $sql)为$sql->get_result()：这是获取预处理语句执行结果的正确方式，它会返回一个可直接遍历的结果集对象。
• 增加prepare()失败检查：如果SQL语句存在语法错误，prepare()会返回false，这里的错误提示能帮你快速排查问题。
• 移除冗余的mysqli_real_escape_string()：预处理语句的参数绑定机制已经完全防护了SQL注入，不需要额外做字符串转义。
• 补充资源清理：显式关闭预处理语句和数据库连接，是更规范的编程习惯。

这样修改后，你的预处理语句就能正常工作，同时保持对SQL注入的防护能力。

内容的提问来源于stack exchange，提问作者Joshua Nwankwo