如何用PHP将搜索结果插入表格？PHP嵌入HTML实现方法咨询

当然可以在PHP中嵌入HTML——这可是PHP最核心的使用场景之一，完全不用有顾虑！针对你现在搜索结果并排显示的混乱问题，用表格来展示数据绝对是最优解，既能让数据结构清晰，又能彻底解决排版杂乱的问题。下面给你具体讲讲实现方法：

一、PHP嵌入HTML的两种常用写法 #

1. 在PHP代码里直接输出HTML字符串 #

你可以通过echo或者拼接字符串的方式，把HTML代码直接输出。结合你的搜索逻辑，修改后的代码大概是这样：

<?php 
include ('database_conn.php'); 
$output = ''; 

if(isset($_POST['search'])) { 
    $search = $_POST['search']; 
    // 过滤非法字符（但这还不够，后面会说安全问题）
    $search = preg_replace("#[^0-9a-z]#i","", $search); 

    // 这里建议用预处理语句，避免SQL注入（后面详细说）
    $query = mysqli_query($conn, "SELECT * FROM attendance WHERE stud_id LIKE '%$search%'") or die ("Could not search"); 
    $count = mysqli_num_rows($query); 

    if($count > 0){
        // 初始化表格结构
        $output = '<table style="border-collapse: collapse; width: 100%;">
                    <tr>
                        <th style="border: 1px solid #ddd; padding: 8px;">学生ID</th>
                        <th style="border: 1px solid #ddd; padding: 8px;">出勤日期</th>
                        <!-- 这里替换成你attendance表中的其他实际字段 -->
                    </tr>';
        
        // 循环查询结果，拼接表格行
        while($row = mysqli_fetch_assoc($query)){
            $output .= '<tr>
                          <td style="border: 1px solid #ddd; padding: 8px;">'.$row['stud_id'].'</td>
                          <td style="border: 1px solid #ddd; padding: 8px;">'.$row['attendance_date'].'</td>
                          <!-- 对应其他字段 -->
                        </tr>';
        }
        $output .= '</table>';
    } else {
        $output = "<p>没有找到匹配的学生记录</p>";
    }
}
?>

<!-- 你的搜索表单放在这里 -->
<form method="post" action="">
    <input type="text" name="search" placeholder="输入学生ID搜索...">
    <button type="submit">搜索</button>
</form>

<!-- 输出搜索结果 -->
<?php echo $output; ?>

2. 跳出PHP标签，直接编写HTML（更易读） #

如果觉得拼接HTML字符串麻烦，你可以直接跳出<?php ?>标签，写纯HTML代码，只在需要填充PHP变量的地方插入短标签，这种方式代码可读性更高：

<?php 
include ('database_conn.php'); 
$searchResult = [];
$count = 0;

if(isset($_POST['search'])) { 
    $search = $_POST['search']; 
    $search = preg_replace("#[^0-9a-z]#i","", $search); 

    $query = mysqli_query($conn, "SELECT * FROM attendance WHERE stud_id LIKE '%$search%'") or die ("Could not search"); 
    $count = mysqli_num_rows($query); 
    // 把结果存到数组里，方便后面使用
    while($row = mysqli_fetch_assoc($query)){
        $searchResult[] = $row;
    }
}
?>

<!-- 搜索表单 -->
<form method="post" action="">
    <input type="text" name="search" placeholder="输入学生ID搜索...">
    <button type="submit">搜索</button>
</form>

<!-- 搜索结果展示 -->
<?php if($count > 0): ?>
    <table style="border-collapse: collapse; width: 100%; margin-top: 20px;">
        <tr>
            <th style="border: 1px solid #ddd; padding: 8px; background: #f5f5f5;">学生ID</th>
            <th style="border: 1px solid #ddd; padding: 8px; background: #f5f5f5;">出勤状态</th>
            <th style="border: 1px solid #ddd; padding: 8px; background: #f5f5f5;">出勤日期</th>
        </tr>
        <?php foreach($searchResult as $row): ?>
        <tr>
            <td style="border: 1px solid #ddd; padding: 8px;"><?php echo $row['stud_id']; ?></td>
            <td style="border: 1px solid #ddd; padding: 8px;"><?php echo $row['status']; ?></td>
            <td style="border: 1px solid #ddd; padding: 8px;"><?php echo $row['attendance_date']; ?></td>
        </tr>
        <?php endforeach; ?>
    </table>
<?php else: ?>
    <?php if(isset($_POST['search'])): ?>
        <p style="margin-top: 20px;">没有找到匹配的记录</p>
    <?php endif; ?>
<?php endif; ?>

二、必须注意的安全问题：SQL注入 #

你当前的代码虽然做了字符过滤，但直接把用户输入的$search拼进SQL语句里，还是存在SQL注入风险。强烈建议使用mysqli预处理语句来替代直接拼接，修改后的查询代码如下：

if(isset($_POST['search'])) { 
    $search = $_POST['search']; 
    // 预处理语句，避免SQL注入
    $stmt = mysqli_prepare($conn, "SELECT * FROM attendance WHERE stud_id LIKE ?");
    // 构造模糊查询的参数
    $searchParam = "%".$search."%";
    // 绑定参数（s表示字符串类型）
    mysqli_stmt_bind_param($stmt, "s", $searchParam);
    // 执行查询
    mysqli_stmt_execute($stmt);
    // 获取结果集
    $result = mysqli_stmt_get_result($stmt);
    $count = mysqli_num_rows($result);
    
    // 循环获取数据
    $searchResult = [];
    while($row = mysqli_fetch_assoc($result)){
        $searchResult[] = $row;
    }
    // 关闭语句
    mysqli_stmt_close($stmt);
}

这样处理后，既保证了功能正常，又能有效防止SQL注入攻击。

内容的提问来源于stack exchange，提问作者L.Rogers