PHP/MySQL登录查询预准备语句返回空值问题求助

嘿，我来帮你搞定这个预准备语句的问题！从你给出的代码来看，大概率是漏掉了关键步骤或者变量处理出了问题，我给你列几个最常见的排查方向和解决方法：

1. 你是不是漏掉了执行语句的步骤？ #

你提供的替换代码里只做了prepare和bind_param，但没有调用$stmt->execute()！预准备语句必须执行后才会去数据库查询，不然结果集肯定是空的。这是新手用预准备语句最容易踩的坑。

2. 检查变量是否带多余的引号 #

原来的不安全代码里，你可能手动给$user或$passHash加了单引号（比如写过$user = "'" . $_POST['user'] . "'";），但预准备语句会自动处理字符串的引号包裹和转义。如果现在你的变量还带着单引号，那查询的时候就会变成找usr等于'admin'（注意这里的引号是变量自带的，数据库里的用户名是admin没有引号），自然匹配不到数据。

3. 打印错误信息定位问题 #

在代码里加上错误检查，能直接看到MySQL返回的错误：

$stmt = $mysqli->prepare("SELECT * FROM user_list WHERE usr=? AND pswHash=?");
if (!$stmt) {
    die("Prepare失败: " . $mysqli->error);
}
$stmt->bind_param('ss', $user, $passHash);
if (!$stmt->execute()) {
    die("Execute失败: " . $stmt->error);
}

4. 验证变量的实际值 #

用var_dump($user, $passHash)输出两个变量的内容，确认它们和数据库里存储的用户名、密码哈希完全一致——有没有多余的空格、转义字符（比如\），或者编码问题导致的差异？

给你一个完整的正确示例代码 #

// 获取用户输入（假设从POST获取）
$user = trim($_POST['username']);
$pass = trim($_POST['password']);
// 注意：如果数据库里的哈希是通过password_hash生成的，这里应该用password_verify验证，而不是重新哈希
// 示例：$passHash = 从数据库查询对应用户的哈希后，用password_verify($pass, $dbHash)判断

// 预准备语句完整流程
$stmt = $mysqli->prepare("SELECT * FROM user_list WHERE usr=?");
if (!$stmt) {
    die("Prepare失败: " . $mysqli->error);
}
$stmt->bind_param('s', $user);
$stmt->execute();

// 获取结果集
$result = $stmt->get_result();
if ($result->num_rows > 0) {
    $userInfo = $result->fetch_assoc();
    // 用password_verify验证密码哈希
    if (password_verify($pass, $userInfo['pswHash'])) {
        echo "登录成功！欢迎 " . $userInfo['usr'];
    } else {
        echo "用户名或密码错误";
    }
} else {
    echo "用户名或密码错误";
}

// 清理资源
$stmt->close();
$mysqli->close();

（补充：这里额外提一句，密码验证的最佳实践是先根据用户名查到哈希，再用password_verify比对，而不是直接把用户输入的哈希拼进查询——这样更安全，也能避免哈希算法差异导致的问题）

如果按照上面的步骤排查后还是有问题，可以把从获取用户输入到处理结果的完整代码片段发出来，我再帮你精准定位~

内容的提问来源于stack exchange，提问作者Luca Chan