PHP注册账号代码在用户名已被占用时仍持续创建账号

核心问题定位 #

你代码里的关键bug就在这一行：

if(count == 0) {

在PHP里，变量必须以$开头，这里的count没加$，PHP会把它当成一个未定义的常量处理。而未定义的常量会被解析成字符串"count"，拿这个字符串和数字0比较，结果永远是true——所以不管用户名有没有被占用，都会执行插入新账号的SQL语句。

正确的写法应该调用之前定义好的$count变量：

if($count == 0) {

额外的安全与规范优化建议 #

除了这个直接导致异常的问题，你的代码还有几个需要修复的隐患：

• SQL注入风险：直接把用户输入的变量拼进SQL语句里，很容易被攻击者利用注入攻击，必须用预处理语句替代。
• 密码明文存储：直接把密码存进数据库是严重的安全问题，要用password_hash()对密码做哈希处理，验证时用password_verify()。
• 硬编码用户输入：你现在把$myusername和$mypassword固定成了'a'，应该从POST请求里获取真实的用户输入，比如$myusername = $_POST['username'];，记得要做基础的过滤和非空验证。

优化后的示例代码 #

<?php
include("config.php");
session_start();

if($_SERVER["REQUEST_METHOD"] == "POST") {
    // 获取并过滤用户输入，处理空值情况
    $myusername = trim($_POST['username'] ?? '');
    $mypassword = trim($_POST['password'] ?? '');

    // 检查用户名是否已存在（使用预处理语句防注入）
    $sql = "SELECT id FROM users WHERE username = ?";
    $stmt = mysqli_prepare($db, $sql);
    mysqli_stmt_bind_param($stmt, "s", $myusername);
    mysqli_stmt_execute($stmt);
    mysqli_stmt_store_result($stmt);
    $count = mysqli_stmt_num_rows($stmt);

    if($count == 0) {
        // 对密码进行哈希处理（自动生成盐值）
        $hashedPassword = password_hash($mypassword, PASSWORD_DEFAULT);
        // 插入新用户（同样用预处理语句）
        $insertSql = "INSERT INTO users (username, password) VALUES (?, ?)";
        $insertStmt = mysqli_prepare($db, $insertSql);
        mysqli_stmt_bind_param($insertStmt, "ss", $myusername, $hashedPassword);
        mysqli_stmt_execute($insertStmt);

        echo "账号创建成功！";
    } else {
        echo "用户名已被占用，请更换其他用户名！";
    }

    // 清理资源
    mysqli_stmt_close($stmt);
    mysqli_stmt_close($insertStmt);
    mysqli_close($db);
}
?>

补充说明 #

• 预处理语句通过占位符?替代变量拼接，彻底杜绝了SQL注入的可能。
• password_hash()会自动生成随机盐值，不需要手动处理，安全性极高。
• 加入trim()去除用户输入的前后空格，避免因为无意输入的空格导致的“重复用户名”误判。

内容的提问来源于stack exchange，提问作者e t