如何使用mysqli预处理语句实现用户名/邮箱登录（非PDO）

嘿，我来帮你搞清楚这个问题～你说找不到MySQLi预处理的登录方案，还疑惑为啥不能用两个?来匹配用户名或邮箱，其实是可以的，只是得用对方法！

先理清楚核心疑问：为啥直接用两个?会有问题？ #

你可能想写类似这样的SQL：

SELECT * FROM user WHERE username = ? OR email = ?

但如果只传一个用户输入的account值，MySQLi会报错——因为预处理语句要求占位符的数量和绑定的参数数量完全匹配。但这不是不能用两个?，而是你需要把同一个account值绑定到这两个占位符上就行啦！

完整实现代码 #

1. 数据库表结构（补全必要约束） #

CREATE TABLE user (
    id int(11) UNSIGNED NOT NULL AUTO_INCREMENT,
    username varchar(20) NOT NULL UNIQUE,
    password varchar(255) NOT NULL,
    email varchar(30) NOT NULL UNIQUE,
    PRIMARY KEY (id)
);

2. HTML登录表单（补全必要字段） #

<form action="login.php" id="login_form" method="post">
    <input type="text" name="account" placeholder="Username or Email" required>
    <input type="password" name="password" placeholder="Your Password" required>
    <button type="submit">Log In</button>
</form>

3. MySQLi预处理实现的login.php #

<?php
// 初始化数据库连接
$mysqli = new mysqli('localhost', '你的数据库用户名', '你的数据库密码', '你的数据库名');
if ($mysqli->connect_error) {
    die('数据库连接失败：' . $mysqli->connect_error);
}

// 处理POST登录请求
if ($_SERVER['REQUEST_METHOD'] === 'POST') {
    // 清理用户输入，避免多余空格干扰匹配
    $account = trim($_POST['account']);
    $password = trim($_POST['password']);

    // 准备预处理SQL：用两个?分别匹配username和email
    $sql = "SELECT id, username, password FROM user WHERE username = ? OR email = ?";
    $stmt = $mysqli->prepare($sql);
    
    // 绑定参数：两个`s`代表字符串类型，把同一个$account绑定到两个占位符
    $stmt->bind_param('ss', $account, $account);
    // 执行查询
    $stmt->execute();
    
    // 获取查询结果
    $result = $stmt->get_result();
    if ($user = $result->fetch_assoc()) {
        // 验证密码（必须用password_verify，因为密码是加密存储的）
        if (password_verify($password, $user['password'])) {
            echo "登录成功！欢迎回来，" . htmlspecialchars($user['username']);
            // 这里可以添加Session初始化、跳转首页等逻辑
        } else {
            echo "密码错误，请重试";
        }
    } else {
        echo "未找到该用户名或邮箱对应的账户";
    }

    // 释放资源，养成良好习惯
    $stmt->close();
    $mysqli->close();
}
?>

关键知识点说明 #

• 重复绑定变量：MySQLi允许将同一个变量绑定到多个占位符，这正是实现“用户名/邮箱二选一匹配”的核心，之前你可能误以为不能重复绑定，其实完全可以。
• 安全要点：
  • 始终用trim()清理用户输入，避免多余空格导致匹配失败。
  • 密码必须用password_hash()加密存储，登录时用password_verify()验证，绝对不能直接明文比较。
  • 输出用户数据时用htmlspecialchars()，防止XSS攻击。
• 为什么之前找不到方案？：大部分教程偏爱PDO，但MySQLi预处理完全可以实现相同的功能，只是写法上和PDO略有不同而已。

内容的提问来源于stack exchange，提问作者carry0987