PHP实现含图片的表单上传功能时数据库插入失败问题咨询

核心问题原因 #

• upload.php 未引入数据库连接文件 shopconnection.php，代码中用到的数据库连接变量 $con 未定义，无法执行SQL操作
• SQL语句中的desc是MySQL保留关键字，直接作为字段名使用会触发语法错误
• 缺少SQL执行错误检测逻辑，出现故障时无法直观定位问题
• 直接拼接用户输入到SQL语句中，若输入内容包含单引号等特殊字符会破坏SQL语法，同时存在SQL注入安全风险
• 额外排查点：需确认plants表字段和插入的字段完全匹配，字段类型、长度兼容传入的数据

具体修复步骤 #

1. 引入数据库连接文件 #

打开upload.php，在代码最顶部添加引入逻辑：

<?php
include("shopconnection.php");
// 原有逻辑放在此处之后

2. 替换插入逻辑为预处理语句，解决保留字和语法问题 #

把原来的SQL插入部分替换为如下代码：

/* 预处理语句避免SQL注入、保留字、特殊字符语法问题 */
$stmt = mysqli_prepare($con, "INSERT INTO plants (imgloc, plantname, price, `desc`) VALUES (?, ?, ?, ?)");
// 四个s代表四个参数为字符串类型，若price为数值类型可将第三个s替换为i（整数）/d（浮点数）
mysqli_stmt_bind_param($stmt, "ssss", $destination, $plantname, $plantprice, $plantdesc);
$execute_status = mysqli_stmt_execute($stmt);
// 调试用：插入失败时输出错误信息，上线后可删除
if (!$execute_status) {
    die("插入失败错误信息：" . mysqli_error($con));
}

3. 可选优化（推荐） #

• 新增用户输入校验，对植物名称、价格、描述做非空、格式校验，避免非法数据提交
• 给图片文件名添加随机前缀，避免同名植物上传时覆盖已存在的图片
• 上线后删除直接输出数据库错误的逻辑，改为友好的前端提示

内容的提问来源于stack exchange，提问作者Kirkulese