如何使用PHP和MySQL将整组数组数据插入新数据表？

嘿，看起来你已经搞定了购物车数据的获取，接下来要把这些数据批量插入到新的订单数据表对吧？我来帮你完善这段代码，顺便提几个关键的安全和效率问题，毕竟直接拼SQL容易踩坑！

首先，先修正你原代码里的SQL注入风险——直接把$_SESSION['customer']拼进查询语句是很危险的，必须用预处理语句来绑定参数。然后，批量插入比循环单条插入效率高很多，我们用预处理来实现批量插入：

完整代码示例（含安全处理和批量插入） #

include("includes/db.php");

// 先校验用户会话是否存在，避免未登录操作
if (!isset($_SESSION['customer'])) {
    header("Location: login.php"); // 跳转到登录页
    exit;
}

$customer_id = $_SESSION['customer'];
$order_status = "Pending";
// 生成更唯一的发票号，避免mt_rand重复问题
$invoice_no = date('YmdHis') . mt_rand(1000, 9999); 
$total_amount = 0; // 用来计算订单总金额（可选）

// 预处理获取购物车数据，彻底避免SQL注入
$cart_query = mysqli_prepare($con, "SELECT * FROM `cart_data` WHERE customer_reg_id = ?");
mysqli_stmt_bind_param($cart_query, "i", $customer_id);
mysqli_stmt_execute($cart_query);
$cart_result = mysqli_stmt_get_result($cart_query);

// 准备批量插入的SQL模板（假设目标表是order_items，字段根据你的实际表结构调整）
$insert_template = "INSERT INTO `order_items` (invoice_no, customer_id, product_id, color_id, size_id, quantity, price, order_status) VALUES ";
$value_placeholders = [];
$param_types = "";
$params = [];

// 遍历购物车数据，收集插入参数
while ($cart_item = mysqli_fetch_array($cart_result)) {
    // 从购物车取出字段（根据你的cart_data表结构调整，这里假设包含quantity和price）
    $product_id = $cart_item['product_id'];
    $color_id = $cart_item['color_id'];
    $size_id = $cart_item['size_id'];
    $quantity = $cart_item['quantity'];
    $price = $cart_item['price'];
    
    // 累加总金额
    $total_amount += $quantity * $price;

    // 添加占位符和参数类型
    $value_placeholders[] = "(?, ?, ?, ?, ?, ?, ?, ?)";
    $param_types .= "iiiiidss"; // i=int, d=decimal, s=string，对应字段类型
    
    // 收集所有要绑定的参数
    $params[] = $invoice_no;
    $params[] = $customer_id;
    $params[] = $product_id;
    $params[] = $color_id;
    $params[] = $size_id;
    $params[] = $quantity;
    $params[] = $price;
    $params[] = $order_status;
}

// 如果购物车有数据，执行插入
if (!empty($value_placeholders)) {
    $insert_query = $insert_template . implode(", ", $value_placeholders);
    $insert_stmt = mysqli_prepare($con, $insert_query);
    
    // 动态绑定参数（因为参数数量不固定，用call_user_func_array）
    array_unshift($params, $insert_stmt, $param_types);
    call_user_func_array('mysqli_stmt_bind_param', $params);

    if (mysqli_stmt_execute($insert_stmt)) {
        echo "订单数据插入成功！";
        // 可选：插入成功后清空购物车
        $empty_cart_stmt = mysqli_prepare($con, "DELETE FROM `cart_data` WHERE customer_reg_id = ?");
        mysqli_stmt_bind_param($empty_cart_stmt, "i", $customer_id);
        mysqli_stmt_execute($empty_cart_stmt);
    } else {
        echo "插入失败：" . mysqli_error($con);
    }
} else {
    echo "购物车为空，无法生成订单！";
}

几个重要的注意事项： #

1. 表结构匹配：确保你的order_items表字段和代码里的插入字段完全对应，比如如果需要order_date，可以在VALUES里加上NOW()来自动填充当前时间。
2. 发票号唯一性：原代码的mt_rand()可能重复，我改成了时间戳+随机数的组合，更可靠。如果需要绝对唯一，可以用数据库的自增ID或者UUID。
3. 订单主表（可选）：如果你的系统有订单主表（比如记录总金额、用户信息等），可以先插入主表，再插入子表：

// 先插入订单主表（假设表名为orders）
$main_order_stmt = mysqli_prepare($con, "INSERT INTO `orders` (invoice_no, customer_id, total_amount, order_status, order_date) VALUES (?, ?, ?, ?, NOW())");
mysqli_stmt_bind_param($main_order_stmt, "iiis", $invoice_no, $customer_id, $total_amount, $order_status);
mysqli_stmt_execute($main_order_stmt);

4. 错误处理：实际项目里可以把echo换成更友好的提示或者日志记录，不要直接暴露数据库错误信息给用户。

内容的提问来源于stack exchange，提问作者Koushik Mondal