PHP数据库查询ID失效：SQL语句有效但代码执行无结果

我一眼就看出了问题所在——你对mysqli_query()的返回值理解有误，同时代码里还有几个容易忽略的坑，下面一步步给你拆解：

核心问题：错误地使用了查询结果对象 #

当你执行$check_id = mysqli_query($connect, $query);时，如果查询成功，$check_id返回的是MySQLi结果集对象，不是直接的check_id字段值。你直接把这个对象塞进HTML的id属性里，得到的只会是对象的字符串表示（比如mysqli_result Object），而不是你想要的实际ID数值。

其他隐藏问题 #

1. 未处理连接/查询错误
   如果数据库连接失败，或者SQL语句有语法错误，mysqli_query()会返回false，这时候你直接把false放到id里，会生成无效的HTML。

2. 严重的SQL注入风险
   你直接把$key和$client_id拼接进SQL语句里，这是非常危险的操作，攻击者可以通过构造恶意参数篡改你的SQL语句，窃取或破坏数据库数据。

修复后的完整代码示例 #

我把你的getTableCell方法重构了，解决了所有问题：

public static function getTableCell($verifiedObject, $client_id, $key) {
    // 建立数据库连接并校验连接状态
    $connect = mysqli_connect("host", "user", "password", "database");
    if (!$connect) {
        return "<td>数据库连接异常</td>";
    }

    // 使用预处理语句，从根源避免SQL注入
    $query = "SELECT check_id FROM check_latest WHERE `key` = ? AND client_id = ?;";
    $stmt = mysqli_prepare($connect, $query);
    
    if (!$stmt) {
        mysqli_close($connect);
        return "<td>查询预处理失败</td>";
    }

    // 绑定参数："si"表示第一个参数是字符串($key)，第二个是整数($client_id)
    mysqli_stmt_bind_param($stmt, "si", $key, $client_id);
    mysqli_stmt_execute($stmt);
    
    // 获取结果集并提取实际的check_id值
    $result = mysqli_stmt_get_result($stmt);
    $actual_check_id = '';
    if ($result) {
        $row = mysqli_fetch_assoc($result);
        $actual_check_id = $row['check_id'] ?? ''; // 处理无查询结果的情况
    }

    // 清理资源
    mysqli_stmt_close($stmt);
    mysqli_close($connect);

    // 转义属性值，避免XSS攻击
    $escaped_id = htmlspecialchars($actual_check_id, ENT_QUOTES);
    return "<td id='{$escaped_id}'></td>";
}

关键修复点说明 #

• 用mysqli_fetch_assoc()从结果集对象里提取出check_id字段的实际值；
• 添加了连接和查询的错误处理，避免出现无效输出；
• 改用预处理语句绑定参数，彻底杜绝SQL注入风险；
• 用htmlspecialchars()转义ID值，避免XSS攻击。

这样修改后，你的代码就能正确返回带实际ID的<td>标签了。

内容的提问来源于stack exchange，提问作者SmashingJummy