如何在PHP中将变量赋值给HTML input标签（含数据库查询场景）

看起来你已经完成了从MySQL查询数据的步骤，接下来把这些PHP变量传递到HTML input标签里其实很简单，我给你分场景演示，同时也提几个安全方面的关键注意事项：

1. 普通文本输入框（text类型） #

直接把PHP变量嵌入到input的value属性中，一定要用htmlspecialchars()转义——这能避免XSS攻击，也能防止特殊字符破坏HTML结构：

<!-- 假设你从查询结果里拿到了$pg_address变量 -->
<input type="text" name="pg_address" value="<?php echo htmlspecialchars($pg_address); ?>">

2. 隐藏输入框（hidden类型） #

如果需要传递数据但不想让用户看到，用hidden类型的input即可：

<input type="hidden" name="property_id" value="<?php echo htmlspecialchars($value['id']); ?>">

3. 多行文本框（textarea） #

textarea没有value属性，直接把变量放在标签内部就行，同样要做转义处理：

<textarea name="pg_description" rows="5" cols="30">
<?php echo htmlspecialchars($value['pg_description']); ?>
</textarea>

给你代码的几个优化建议 #

（1）避免未定义变量报错

你的代码里如果MySQL查询不到数据，$project变量会未定义，建议先初始化空数组：

$project = []; // 先初始化空数组，防止查询无结果时报错
$sql ="SELECT * FROM `tbl_master_property` WHERE `name` ='$skills'";
$result=$conn->query($sql);
while( $row = $result->fetch_assoc() ) {
    $project[] = $row;
}

（2）防止SQL注入风险

你当前的SQL语句直接拼接用户输入的$skills，存在严重的SQL注入风险，建议改用预处理语句：

// 使用预处理查询彻底避免SQL注入
$stmt = $conn->prepare("SELECT * FROM `tbl_master_property` WHERE `name` = ?");
$stmt->bind_param("s", $skills); // "s"表示参数为字符串类型
$stmt->execute();
$result = $stmt->get_result();
$project = [];
while( $row = $result->fetch_assoc() ) {
    $project[] = $row;
}
$stmt->close();

这样处理之后，既实现了把PHP变量赋值给HTML input的需求，也保证了代码的安全性和健壮性。

内容的提问来源于stack exchange，提问作者lamp