如何从数据库检索已提交表单数据，自动填充关联同库的另一HTML表单

我明白你现在的需求——已经有一个表单把数据存入了sample.user_details表，现在想做另一个关联表单，能自动从数据库拉取已有的用户数据填充进去，省掉重复输入的麻烦。下面我分步骤给你实现方案，顺便帮你优化原代码的安全问题（原代码存在SQL注入风险，必须修复）。

第一步：优化原有数据插入代码（修复SQL注入风险） #

你原来的代码直接把用户输入拼接进SQL语句，这很容易被SQL注入攻击。下面改成预处理语句，把数据和SQL结构分离，更安全：

<?php
$servername = "localhost";
$username = "root";
$password = "";
$dbname="sample";

// 创建并检查数据库连接
$conn = mysqli_connect($servername,$username,$password,$dbname);
if (!$conn) {
    die("连接失败: " . mysqli_connect_error());
}

// 定义预处理插入语句
$insert_query = "INSERT INTO sample.user_details 
                (Position, JoinDate, FirstName, LastName, PhoneNumber, EmailId, DateofBirth, PlaceOfBirth, Nationality, MaritalStatus, Address) 
                VALUES (?, ?, ?, ?, ?, ?, ?, ?, ?, ?, ?)";

// 初始化预处理语句
$stmt = mysqli_prepare($conn, $insert_query);
// 绑定参数（"sssssssssss"表示11个字符串类型参数）
mysqli_stmt_bind_param($stmt, "sssssssssss", $pos, $date, $name, $lname, $PhNo, $email, $dob, $pob, $nationality, $status, $address);

// 获取表单提交的数据
$pos = $_REQUEST['Position'];
$date = $_REQUEST['JoinDate'];
$name = $_REQUEST['FirstName'];
$lname = $_REQUEST['LastName'];
$PhNo = $_REQUEST['PhoneNumber'];
$email = $_REQUEST['EmailId'];
$dob = $_REQUEST['DateofBirth'];
$pob = $_REQUEST['PlaceOfBirth'];
$nationality = $_REQUEST['Nationality'];
$status = $_REQUEST['MaritalStatus'];
$address = $_REQUEST['Address'];

// 执行插入操作
if(mysqli_stmt_execute($stmt)) {
    echo "数据插入成功";
} else {
    echo "插入失败: " . mysqli_stmt_error($stmt);
}

// 关闭语句和连接
mysqli_stmt_close($stmt);
mysqli_close($conn);
?>

第二步：实现数据检索与表单自动填充 #

要自动填充表单，首先需要一个唯一标识来定位数据库中的用户（比如邮箱、手机号，因为这些字段通常是唯一的）。我们分3个文件实现：

1. 检索入口表单（让用户输入唯一标识） #

创建search_form.html，让用户输入邮箱来查找对应数据：

<!DOCTYPE html>
<html>
<head>
    <title>检索用户数据</title>
</head>
<body>
    <form action="fetch_data.php" method="POST">
        <label for="EmailId">输入用户邮箱:</label>
        <input type="email" id="EmailId" name="EmailId" required>
        <button type="submit">获取数据并填充表单</button>
    </form>
</body>
</html>

2. 数据库数据查询脚本 #

创建fetch_data.php，根据用户输入的邮箱从数据库拉取数据，并用Session传递到表单页面：

<?php
$servername = "localhost";
$username = "root";
$password = "";
$dbname="sample";

$conn = mysqli_connect($servername,$username,$password,$dbname);
if (!$conn) {
    die("连接失败: " . mysqli_connect_error());
}

// 获取用户输入的邮箱
$email = $_POST['EmailId'];

// 预处理查询语句
$query = "SELECT * FROM sample.user_details WHERE EmailId = ?";
$stmt = mysqli_prepare($conn, $query);
mysqli_stmt_bind_param($stmt, "s", $email);
mysqli_stmt_execute($stmt);
$result = mysqli_stmt_get_result($stmt);

// 如果找到对应数据，存入Session并跳转到填充表单页面
if(mysqli_num_rows($result) > 0) {
    $user_data = mysqli_fetch_assoc($result);
    session_start();
    $_SESSION['user_data'] = $user_data;
    header("Location: fill_form.php");
    exit();
} else {
    echo "未找到该邮箱对应的用户数据，请检查输入";
}

// 关闭资源
mysqli_stmt_close($stmt);
mysqli_close($conn);
?>

3. 自动填充的目标表单 #

创建fill_form.php，把Session中的用户数据自动填充到表单字段中：

<?php
session_start();
// 如果没有用户数据，跳回检索页面
if(!isset($_SESSION['user_data'])) {
    header("Location: search_form.html");
    exit();
}
$user_data = $_SESSION['user_data'];
?>

<!DOCTYPE html>
<html>
<head>
    <title>自动填充表单</title>
</head>
<body>
    <form action="update_data.php" method="POST">
        <label for="Position">职位:</label>
        <input type="text" id="Position" name="Position" value="<?php echo htmlspecialchars($user_data['Position']); ?>"><br>

        <label for="JoinDate">入职日期:</label>
        <input type="date" id="JoinDate" name="JoinDate" value="<?php echo htmlspecialchars($user_data['JoinDate']); ?>"><br>

        <label for="FirstName">名字:</label>
        <input type="text" id="FirstName" name="FirstName" value="<?php echo htmlspecialchars($user_data['FirstName']); ?>"><br>

        <label for="LastName">姓氏:</label>
        <input type="text" id="LastName" name="LastName" value="<?php echo htmlspecialchars($user_data['LastName']); ?>"><br>

        <label for="PhoneNumber">电话:</label>
        <input type="tel" id="PhoneNumber" name="PhoneNumber" value="<?php echo htmlspecialchars($user_data['PhoneNumber']); ?>"><br>

        <label for="EmailId">邮箱:</label>
        <input type="email" id="EmailId" name="EmailId" value="<?php echo htmlspecialchars($user_data['EmailId']); ?>" readonly><br>

        <label for="DateofBirth">出生日期:</label>
        <input type="date" id="DateofBirth" name="DateofBirth" value="<?php echo htmlspecialchars($user_data['DateofBirth']); ?>"><br>

        <label for="PlaceOfBirth">出生地:</label>
        <input type="text" id="PlaceOfBirth" name="PlaceOfBirth" value="<?php echo htmlspecialchars($user_data['PlaceOfBirth']); ?>"><br>

        <label for="Nationality">国籍:</label>
        <input type="text" id="Nationality" name="Nationality" value="<?php echo htmlspecialchars($user_data['Nationality']); ?>"><br>

        <label for="MaritalStatus">婚姻状态:</label>
        <input type="text" id="MaritalStatus" name="MaritalStatus" value="<?php echo htmlspecialchars($user_data['MaritalStatus']); ?>"><br>

        <label for="Address">地址:</label>
        <textarea id="Address" name="Address"><?php echo htmlspecialchars($user_data['Address']); ?></textarea><br>

        <button type="submit">更新用户数据</button>
    </form>
</body>
</html>

这里用htmlspecialchars()是为了防止XSS攻击，把用户数据转义后再输出，避免恶意脚本注入。

第三步：可选——实现数据更新功能 #

如果需要修改填充后的表单数据并更新回数据库，创建update_data.php：

<?php
$servername = "localhost";
$username = "root";
$password = "";
$dbname="sample";

$conn = mysqli_connect($servername,$username,$password,$dbname);
if (!$conn) {
    die("连接失败: " . mysqli_connect_error());
}

// 获取表单提交的更新数据
$pos = $_POST['Position'];
$date = $_POST['JoinDate'];
$name = $_POST['FirstName'];
$lname = $_POST['LastName'];
$PhNo = $_POST['PhoneNumber'];
$email = $_POST['EmailId'];
$dob = $_POST['DateofBirth'];
$pob = $_POST['PlaceOfBirth'];
$nationality = $_POST['Nationality'];
$status = $_POST['MaritalStatus'];
$address = $_POST['Address'];

// 预处理更新语句
$update_query = "UPDATE sample.user_details 
                SET Position=?, JoinDate=?, FirstName=?, LastName=?, PhoneNumber=?, DateofBirth=?, PlaceOfBirth=?, Nationality=?, MaritalStatus=?, Address=?
                WHERE EmailId=?";
$stmt = mysqli_prepare($conn, $update_query);
mysqli_stmt_bind_param($stmt, "sssssssssss", $pos, $date, $name, $lname, $PhNo, $dob, $pob, $nationality, $status, $address, $email);

// 执行更新
if(mysqli_stmt_execute($stmt)) {
    echo "数据更新成功";
    // 清除Session中的用户数据
    session_start();
    unset($_SESSION['user_data']);
} else {
    echo "更新失败: " . mysqli_stmt_error($stmt);
}

// 关闭资源
mysqli_stmt_close($stmt);
mysqli_close($conn);
?>

关键注意事项 #

• 安全第一：始终用预处理语句处理数据库操作，用htmlspecialchars()处理输出到页面的用户数据，避免SQL注入和XSS攻击。
• 唯一标识：如果有用户登录系统，可以用用户ID作为检索标识，不用让用户手动输入邮箱，体验更流畅。
• 字段匹配：确保数据库表的字段名和表单的name属性完全一致，避免拼写错误导致数据填充失败。

内容的提问来源于stack exchange，提问作者Ron