如何在PDO foreach遍历的查询结果中正确插入$variable变量？

下面分需求实现方案和规范优化两部分说明：

最简实现（仅满足基础需求） #

如果你只需要快速改完功能，直接修改输出行的数组键即可：

function listCategories($language)
{
    $stmt = DB::run("SELECT * FROM categories");
    foreach ($stmt as $row)
    {
        // 直接在键位拼接变量即可生效
        echo "<li><a href='index.php?cat=". $row['id'] ."'>". $row['catname_'.$language] ."</a></li>";
    }
}

这种写法可以直接跑出你要的效果，但不符合生产环境的代码规范，存在多处隐患。

符合规范的最佳实践写法 #

推荐按照下面的方案优化，兼顾可读性、安全性和健壮性：

// 1. 给函数加参数类型声明、返回值类型声明
function listCategories(string $language): void
{
    // 2. 校验语言参数合法性，避免传入非法值读取不存在的字段
    $allowedLanguages = ['zh', 'en', 'ja']; // 替换成你实际支持的语言列表
    if (!in_array($language, $allowedLanguages, true)) {
        throw new InvalidArgumentException('不支持的语言类型');
    }

    // 3. 提前拼接好字段名，可读性更高，后续修改更方便
    $catNameField = "catname_{$language}";

    $stmt = DB::run("SELECT * FROM categories");
    foreach ($stmt as $row) {
        // 4. 强转分类ID避免注入，转义分类名避免XSS漏洞，同时判断字段是否存在加兜底逻辑
        $catId = (int) $row['id'];
        $catName = isset($row[$catNameField]) ? htmlspecialchars($row[$catNameField]) : '未知分类';
        
        // 5. 用字符串插值替代大量点拼接，代码更易读
        echo "<li><a href='index.php?cat={$catId}'>{$catName}</a></li>";
    }
}

优化点说明 #

• 参数校验：限定语言参数的合法取值范围，避免因为传入异常值读取不存在的数组键，抛出PHP Notice错误
• 提前定义字段名：将拼接后的字段名赋值给独立变量，比直接写在$row的键位中可读性更高，后续修改字段前缀也更方便
• 安全处理：输出到HTML的内容统一做转义/强转处理，避免XSS注入漏洞，符合Web开发基础安全规范
• 健壮性处理：加字段存在性判断，即使数据库对应字段缺失，也不会直接抛出错误，可走兜底展示逻辑

内容的提问来源于stack exchange，提问作者Morning Sun