如何处理$_GET参数实现指定兴趣/全部用户的数据库查询？

我帮你排查下代码里的几个关键问题，这就是为啥你无论选啥都拿不到结果的原因：

问题分析 #

• SQL语句逻辑错误：你写的OR $Interest = 'Any Interest'逻辑完全不对！当传入的interestId是"Any Interest"时，这条条件会被解析成OR 'Any Interest' = 'Any Interest'，但前面还有Interest1 = 'Any Interest' OR Interest2 = 'Any Interest' OR Interest3 = 'Any Interest'，相当于还是在找兴趣字段里包含"Any Interest"的用户，而不是查询所有用户，完全违背了你原本的需求。
• SQL注入高危风险：直接把$_GET的参数拼进SQL语句里，这是非常危险的操作，恶意攻击者可以通过构造特殊参数篡改SQL语句，甚至删除整个数据库表。
• 输出字符串未加引号：你代码里的echo Name . ": ";这类写法有问题，Name没有被引号包裹，PHP会将其视为常量，若未定义该常量会抛出警告，同时输出结果也不符合预期，所有类似的文本都应该用引号包裹成字符串。

解决方案（修正后的代码） #

<?php
// 获取参数并做安全处理
$Interest = $_GET['interestId'] ?? '';
$Interest = trim($Interest);

// 构造SQL语句和绑定参数
if ($Interest === 'Any Interest') {
    // 查询所有用户
    $sql = "SELECT * FROM User";
    $stmt = mysqli_prepare($link, $sql);
    mysqli_stmt_execute($stmt);
} else {
    // 查询匹配兴趣的用户，使用预处理语句防止注入
    $sql = "SELECT * FROM User WHERE Interest1 = ? OR Interest2 = ? OR Interest3 = ?";
    $stmt = mysqli_prepare($link, $sql);
    // 绑定三个字符串类型的参数
    mysqli_stmt_bind_param($stmt, "sss", $Interest, $Interest, $Interest);
    mysqli_stmt_execute($stmt);
}

// 获取结果集
$result = mysqli_stmt_get_result($stmt);
$resultCheck = mysqli_num_rows($result);

if ($resultCheck > 0) {
    while ($row = mysqli_fetch_assoc($result)) {
        echo "<p>";
        echo "Name: ";
        echo $row['Fname'] . " ";
        echo $row['Lname'] . "<br><br>";
        echo "Interests: ";
        echo $row['Interest1'] . ", ";
        echo $row['Interest2'] . ", ";
        echo $row['Interest3'] . "<br><br>";
        echo "Website: ";
        echo $row['Website'] . "<br><br>";
        echo "Personal Statement: <br><br>";
        echo $row['PersonalStatement'] . "<br><br>";
        echo "Contact: ";
        echo $row['Phone'] . "<br>";
        echo $row['Email'];
        echo "</p>";
    }
} else {
    $message = $Interest === 'Any Interest' 
        ? "There are currently no users in the database!" 
        : "Drat! There's currently no one with the interest of $Interest!";
    echo "<h2>Drat!</h2> $message";
}

// 关闭语句和连接
mysqli_stmt_close($stmt);
mysqli_close($link);
?>

关键改进点说明 #

1. 分情况构造SQL：当参数是"Any Interest"时直接查询所有用户，否则匹配三个兴趣字段，逻辑完全符合需求。
2. 预处理语句防注入：使用mysqli_prepare、mysqli_stmt_bind_param处理参数，彻底避免SQL注入风险。
3. 修复输出文本：把所有未加引号的文本改成带引号的字符串，避免警告和输出错误。
4. 参数安全处理：使用??运算符处理参数为空的情况，并用trim()去除多余空格，增强代码鲁棒性。

内容的提问来源于stack exchange，提问作者Steven Guerrero