如何使用foreach循环将$_POST数组数据插入MySQL数据库

现有代码的核心问题 #

1. 逻辑错误：遍历$_POST的每一个值单独执行插入操作，会导致每提交一次表单插入N行数据（N等于POST参数的数量），不符合将一组表单数据插入为1条客户记录的常规需求
2. 安全漏洞：直接把用户输入拼入SQL语句，存在严重的SQL注入风险，可被攻击者窃取、篡改甚至删除整个数据库
3. 兼容性差：INSERT语句没有指定对应字段名，一旦Customers表结构调整（增减字段、调整字段顺序），代码会直接失效
4. 缺少错误校验：SQL执行后没有判断结果，出现问题无法快速定位原因

更简便安全的实现方案 #

以下代码支持动态适配表单字段，全程避免SQL注入，一次操作插入1条完整记录：

// 连接数据库，按实际环境替换连接参数
$Connect = mysqli_connect('127.0.0.1', '数据库用户名', '数据库密码', '数据库名');
// 开启mysqli报错提示方便调试，生产环境可按需关闭
mysqli_report(MYSQLI_REPORT_ERROR | MYSQLI_REPORT_STRICT);

if ($Connect) {
    // 配置字段白名单：和Customers表的字段名、表单提交的POST参数名一一对应即可
    $allowFields = ['name', 'phone', 'email', 'address'];
    // 过滤出合法的POST参数，避免非法字段被带入
    $insertData = array_filter(
        $_POST,
        fn($key) => in_array($key, $allowFields),
        ARRAY_FILTER_USE_KEY
    );

    // 自动生成预处理SQL
    $fields = implode(',', array_keys($insertData));
    $placeholders = implode(',', array_fill(0, count($insertData), '?'));
    $sql = "INSERT INTO Customers ($fields) VALUES ($placeholders)";

    // 绑定参数执行，这里默认所有字段是字符串类型，如有数字、时间等类型自行调整类型串
    $stmt = mysqli_prepare($Connect, $sql);
    $types = str_repeat('s', count($insertData));
    mysqli_stmt_bind_param($stmt, $types, ...array_values($insertData));
    mysqli_stmt_execute($stmt);

    // 可选：获取新插入记录的自增ID
    $newCustomerId = mysqli_insert_id($Connect);
    mysqli_stmt_close($stmt);
}

mysqli_close($Connect);

后续如果新增插入字段，只需修改$allowFields数组添加对应字段名即可，其他逻辑无需改动。

内容的提问来源于stack exchange，提问作者javi-ur96