PHP动态WHERE子句查询报错：mysqli_fetch_assoc参数异常

你遇到的mysqli_fetch_assoc() expects parameter 1 to be mysqli_result, boolean given错误，核心原因是预处理语句执行失败，而你后来发现的“必须输入所有5个条件才能查询”，正是导致语句执行失败的直接诱因。

先梳理下你代码里的核心问题：

1. 参数数量不匹配：不管用户填了几个条件，你都绑定了5个参数（Q1到Q5），但当部分条件为空时，SQL语句里的占位符?数量远少于5个，预处理语句会直接执行失败，mysqli_stmt_get_result()返回false，传给mysqli_fetch_assoc()就触发了报错。
2. SQL注入风险：Q1和Q2直接用字符串拼接进SQL语句，没有用占位符，这会让你的程序暴露在SQL注入攻击下。

下面是针对性的修复方案，我们需要动态匹配占位符数量和实际要绑定的参数，同时统一用预处理语句处理所有条件：

修改后的完整PHP代码 #

// 初始化变量和过滤输入
$params = [];
$types = '';
$whereParts = [];

// 处理每个搜索条件
if (isset($_POST["Q1"]) && !empty($_POST["Q1"])) {
    $Q1 = sanitise_input($_POST["Q1"]);
    $whereParts[] = "firstname LIKE ?";
    $params[] = "%{$Q1}%";
    $types .= 's';
}

if (isset($_POST["Q2"]) && !empty($_POST["Q2"])) {
    $Q2 = sanitise_input($_POST["Q2"]);
    $whereParts[] = "lastname LIKE ?";
    $params[] = "%{$Q2}%";
    $types .= 's';
}

if (isset($_POST["Q3"]) && !empty($_POST["Q3"])) {
    $Q3 = sanitise_input($_POST["Q3"]);
    $whereParts[] = "student_number = ?";
    $params[] = $Q3;
    $types .= 's';
}

if (isset($_POST["Q4"]) && !empty($_POST["Q4"])) {
    $Q4 = sanitise_input($_POST["Q4"]);
    $whereParts[] = "attempt_number = ?";
    $params[] = $Q4;
    $types .= 'i'; // 尝试次数是整数，用i类型更准确
}

if (isset($_POST["Q5"]) && !empty($_POST["Q5"])) {
    $Q5 = sanitise_input($_POST["Q5"]);
    $whereParts[] = "attempt_score = ?";
    $params[] = $Q5;
    $types .= 'i'; // 分数是整数，用i类型更准确
}

// 构建SQL语句
$query = "SELECT firstname, lastname, student_number, attempt_number, attempt_score FROM attempts ";
if (!empty($whereParts)) {
    $query .= "WHERE " . implode(' AND ', $whereParts);
}

// 执行预处理语句
$stmt = mysqli_prepare($conn, $query);
if ($stmt) {
    // 如果有参数需要绑定，才执行绑定操作
    if (!empty($params)) {
        mysqli_stmt_bind_param($stmt, $types, ...$params);
    }
    mysqli_stmt_execute($stmt);
    $result = mysqli_stmt_get_result($stmt);

    // 渲染结果表格
    echo "<table border='1' id='result_table'>";
    echo "<tr>"
        ."<th scope='col'>First Name</th>"
        ."<th scope='col'>Last Name</th>"
        ."<th scope='col'>Student ID</th>"
        ."<th scope='col'>Attempt number</th>"
        ."<th scope='col'>Attempt score</th>"
        ."</tr>";
    
    if ($result) {
        while ($row = mysqli_fetch_assoc($result)) {
            echo "<tr>";
            echo "<td>{$row["firstname"]}</td>";
            echo "<td>{$row["lastname"]}</td>";
            echo "<td>{$row["student_number"]}</td>";
            echo "<td>{$row["attempt_number"]}</td>";
            echo "<td>{$row["attempt_score"]}</td>";
            echo "</tr>";
        }
    } else {
        echo "<tr><td colspan='5'>查询执行失败，请检查输入或重试</td></tr>";
    }
    echo "</table>";
    mysqli_stmt_close($stmt);
} else {
    echo "<p>Something is wrong with {$query}</p>";
    echo "<p>错误信息：" . mysqli_error($conn) . "</p>"; // 增加错误信息便于调试
}

关键修改点说明： #

• 动态参数收集：只有当用户填写了对应条件时，才将该条件加入whereParts，并把参数值和类型分别存入$params和$types数组，保证占位符数量和参数数量完全匹配。
• LIKE语句的正确处理：把%通配符放在参数值里，而不是SQL语句中，既避免了SQL注入，又保证了预处理语句的兼容性。
• 类型匹配：针对attempt_number和attempt_score这种整数类型，使用i作为参数类型，比统一用s更准确，也能提高数据库查询效率。
• 错误调试：增加了mysqli_error($conn)输出，方便你在开发阶段快速定位SQL语句的问题。
• 空值判断：每个条件都增加了!empty()判断，避免空字符串被当作有效条件传入。

这样修改后，用户可以填写任意数量的条件进行搜索，预处理语句能正确执行，mysqli_fetch_assoc()也能拿到有效的mysqli_result对象，不会再出现之前的错误。

内容的提问来源于stack exchange，提问作者Khang