基于jQuery、Ajax和PHP的三级联动下拉框动态加载问题

我看了你的代码，问题核心是ajaxData.php里没有正确使用POST传递的变量，还存在SQL注入风险，另外第二个查询里还有个字段引用的小bug。咱们一步步来修复：

主要问题点与修复步骤 #

• 硬编码SQL条件：你之前写死了WHERE coin_country = 'Canada'和WHERE coin_name = 'MapleLeaf'，没有动态使用前端传过来的变量
• SQL注入风险：直接把用户输入拼进SQL语句是高危操作，必须用预处理语句规避
• 字段引用错误：第二个查询只SELECT了value，但输出时用了$row['id']，会导致undefined index错误

修正后的ajaxData.php完整代码 #

<?php
//Include the database configuration file
include 'db_conn.php';

if(!empty($_POST["country"])){
    // 使用mysqli预处理语句，避免SQL注入
    $query = $conn->prepare("SELECT DISTINCT coin_name, id FROM coin_database WHERE coin_country = ? ORDER BY coin_name DESC");
    $query->bind_param("s", $_POST["country"]); // "s"表示参数为字符串类型
    $query->execute();
    $result = $query->get_result();
    $rowCount = $result->num_rows;

    // 生成硬币选项列表
    if($rowCount > 0){
        echo '<option value="">Select Coin</option>';
        while($row = $result->fetch_assoc()){
            echo '<option value="'.$row['id'].'">'.$row['coin_name'].'</option>';
        }
    }else{
        echo '<option value="">No coins available for this country</option>';
    }
    $query->close();
}
elseif(!empty($_POST["name"])){
    // 根据硬币ID查询对应面值（前端传的是硬币ID，用ID查询更精准）
    $query = $conn->prepare("SELECT DISTINCT value, id FROM coin_database WHERE id = ? ORDER BY id DESC");
    $query->bind_param("i", $_POST["name"]); // "i"表示参数为整数类型
    $query->execute();
    $result = $query->get_result();
    $rowCount = $result->num_rows;

    // 生成面值选项列表
    if($rowCount > 0){
        echo '<option value="">Select Value</option>';
        while($row = $result->fetch_assoc()){
            echo '<option value="'.$row['id'].'">'.$row['value'].'</option>';
        }
    }else{
        echo '<option value="">No values available for this coin</option>';
    }
    $query->close();
}
?>

额外说明 #

1. 预处理语句的作用：它会把用户输入当作纯数据而非SQL指令解析，彻底避免恶意SQL注入攻击，这是处理用户输入的标准做法
2. 查询逻辑优化：用硬币ID而非名称查询面值，避免同名硬币导致的查询错误；如果想改用名称查询，只需把index.php中硬币选项的value改成$row['coin_name']，同时把ajaxData.php中第二个查询的参数类型改成s、条件改成WHERE coin_name = ?
3. 用户体验优化：可以把index.php中初始提示文本改得更贴合业务，比如把Select state first改成Select coin first，让用户更清晰下一步操作

内容的提问来源于stack exchange，提问作者pobliska