如何先检查数据库用户是否存在，不存在则执行插入？当前代码仅执行查询

嘿，你的代码目前有两个核心问题：逻辑判断错误和严重的SQL注入风险，我来帮你一步步修正：

原代码的问题分析 #

• 你用mysqli_query($dbconn, $query_check_user)的返回值来判断用户是否存在，但这个函数执行SELECT成功时，不管有没有查到数据都会返回一个结果集对象（不是false），只有当查询语法出错时才会返回false。这导致你的逻辑完全颠倒了——只要查询没报错，就会提示“user already exists”，根本不会执行插入。
• 直接把用户输入的$_POST变量拼进SQL语句里，是典型的SQL注入漏洞，攻击者可以轻松篡改你的数据库。

修正后的代码 #

<?php
include_once('includes/dbconn.php');

if (isset($_POST['submitted'])) {
    // 获取并过滤用户输入（基础过滤，预处理语句会进一步防护）
    $fname = trim($_POST['fname']);
    $lname = trim($_POST['lname']);
    $user = trim($_POST['user']);
    $pass = trim($_POST['pass']); // 注意：实际项目中不要明文存密码，要用password_hash()加密！

    // 1. 使用预处理语句检查用户是否存在，防止SQL注入
    $check_sql = "SELECT username FROM Users WHERE username = ?";
    $stmt = mysqli_prepare($dbconn, $check_sql);
    mysqli_stmt_bind_param($stmt, "s", $user); // "s"表示字符串类型参数
    mysqli_stmt_execute($stmt);
    mysqli_stmt_store_result($stmt); // 存储结果集以便获取行数

    // 判断用户是否存在：行数大于0则存在
    if (mysqli_stmt_num_rows($stmt) > 0) {
        echo "用户已存在";
    } else {
        // 2. 预处理插入语句
        $insert_sql = "INSERT INTO Users(firstname, lastname, username, password) VALUES (?, ?, ?, ?)";
        $insert_stmt = mysqli_prepare($dbconn, $insert_sql);
        mysqli_stmt_bind_param($insert_stmt, "ssss", $fname, $lname, $user, $pass);
        
        // 执行插入并判断结果
        if (mysqli_stmt_execute($insert_stmt)) {
            echo "用户注册成功";
        } else {
            echo "注册失败：" . mysqli_error($dbconn);
        }
        mysqli_stmt_close($insert_stmt);
    }

    // 关闭预处理语句和数据库连接
    mysqli_stmt_close($stmt);
    mysqli_close($dbconn);
}
?>

额外注意事项 #

• 密码加密：上面的代码里我标注了，实际项目中绝对不要明文存储密码，要用password_hash($pass, PASSWORD_DEFAULT)来加密，验证时用password_verify()。
• 输入验证：可以增加对用户输入的合法性检查（比如用户名长度、密码复杂度等），提升安全性和用户体验。
• 错误处理：可以把错误信息记录到日志，而不是直接输出给用户，避免泄露数据库细节。

内容的提问来源于stack exchange，提问作者user2589992