如何用PHP实现博客系统中匹配查询条件的数据库条目查询？

核心思路 #

结合你的简易博客场景，我们需要在view.php里根据URL参数username，安全地从数据库拉取该用户的所有文章，最后按要求展示时间戳和内容。这里要重点做好SQL注入防护和数据安全输出，避免踩坑。

完整代码实现（基于PDO，推荐使用） #

PDO相比mysqli更灵活，也更能有效防范SQL注入，下面是view.php的完整落地代码：

<?php
// 启动Session（如果后续要做用户身份校验可保留，当前场景可选）
session_start();

// 数据库连接配置，替换成你自己的数据库信息
$dbHost = 'localhost';
$dbName = 'your_blog_db';
$dbUser = 'db_username';
$dbPass = 'db_password';

try {
    // 初始化PDO连接，确保字符集为utf8mb4支持 emoji
    $pdo = new PDO("mysql:host=$dbHost;dbname=$dbName;charset=utf8mb4", $dbUser, $dbPass);
    $pdo->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);
} catch(PDOException $e) {
    die("数据库连接失败: " . $e->getMessage());
}

// 处理URL中的username参数，先做合法性校验
if (!isset($_GET['username']) || empty(trim($_GET['username']))) {
    die("请指定要查看的用户名");
}
$targetUsername = trim($_GET['username']);

// 预处理SQL查询（防止SQL注入的核心操作）
// 假设你的文章表名为`articles`，字段包括：created_at(时间戳)、content(文章内容)、username(作者)
$sql = "SELECT created_at, content FROM articles WHERE username = :username ORDER BY created_at DESC";
$stmt = $pdo->prepare($sql);
$stmt->bindParam(':username', $targetUsername, PDO::PARAM_STR);
$stmt->execute();

// 获取所有匹配的文章条目
$articles = $stmt->fetchAll(PDO::FETCH_ASSOC);

// 按要求展示文章内容
if (empty($articles)) {
    echo "该用户暂无发布文章";
} else {
    foreach ($articles as $article) {
        // 把UNIX时间戳转成可读格式，若数据库存的是datetime类型可直接输出
        $formattedTime = date('Y-m-d H:i:s', $article['created_at']);
        // 转义内容防止XSS攻击，保障页面安全
        $safeContent = htmlspecialchars($article['content'], ENT_QUOTES, 'UTF-8');
        // 用&nbsp分隔时间和内容，追加换行提升可读性
        echo $formattedTime . "&nbsp;&nbsp;" . $safeContent . "<br><br>";
    }
}

// 关闭连接（PDO会自动回收，可选操作）
$pdo = null;
?>

关键细节提醒 #

• SQL注入防护：绝对不要直接把用户输入的username拼到SQL语句里，用预处理语句+参数绑定是最可靠的方式。
• XSS防护：用htmlspecialchars()转义文章内容，避免恶意脚本被浏览器执行。
• 参数校验：先检查$_GET['username']是否存在且不为空，避免出现Undefined index错误。
• 时间格式适配：如果你的数据库时间字段是datetime类型，直接输出$article['created_at']即可，不用date()转换。

备选：mysqli实现方案 #

如果你习惯用mysqli，也可以参考下面的代码：

<?php
session_start();

$dbHost = 'localhost';
$dbName = 'your_blog_db';
$dbUser = 'db_username';
$dbPass = 'db_password';

// 建立mysqli连接
$conn = new mysqli($dbHost, $dbUser, $dbPass, $dbName);
if ($conn->connect_error) {
    die("数据库连接失败: " . $conn->connect_error);
}
$conn->set_charset("utf8mb4");

// 校验参数
if (!isset($_GET['username']) || empty(trim($_GET['username']))) {
    die("请指定要查看的用户名");
}
$targetUsername = trim($_GET['username']);

// 预处理查询
$stmt = $conn->prepare("SELECT created_at, content FROM articles WHERE username = ? ORDER BY created_at DESC");
$stmt->bind_param("s", $targetUsername);
$stmt->execute();
$result = $stmt->get_result();
$articles = $result->fetch_all(MYSQLI_ASSOC);

// 展示内容
if (empty($articles)) {
    echo "该用户暂无发布文章";
} else {
    foreach ($articles as $article) {
        $formattedTime = date('Y-m-d H:i:s', $article['created_at']);
        $safeContent = htmlspecialchars($article['content'], ENT_QUOTES, 'UTF-8');
        echo $formattedTime . "&nbsp;&nbsp;" . $safeContent . "<br><br>";
    }
}

// 关闭资源
$stmt->close();
$conn->close();
?>

适配你的数据库 #

记得把代码里的数据库名、用户名、密码替换成你实际的信息，同时确认文章表的字段名和代码里的一致（比如时间字段叫created_at，内容字段叫content）。

内容的提问来源于stack exchange，提问作者DANIEL MESKIN