提交Testimonial至数据库的代码故障求助：提交时提示错误

嘿，我帮你梳理下这段代码里的问题，正是这些点导致了提交失败，咱们一个个来解决：

• SQL字段与值完全不匹配
  你的INSERT语句里第一个字段是id，但对应传入的却是$name！如果id是表的自增主键（这是最常见的设计），你应该把它从字段列表里删掉，让数据库自动生成主键值；如果必须手动指定id，那得传入正确的id值，而不是用户名。这是最可能导致SQL执行失败的核心原因。

• 没有输出具体的数据库错误信息
  你现在只知道提交失败，但根本不知道是SQL语法错了、字段不存在还是其他问题。可以在执行失败后加上这句，直接看到错误详情：

  echo "数据库错误详情: " . mysqli_error($con);
  

  这能帮你快速定位问题根源。

• 存在严重的SQL注入风险，且易触发语法错误
  直接把用户输入的$_POST值拼进SQL语句里，不仅容易因为用户输入的特殊字符（比如单引号）导致SQL语法错误，还会被恶意用户利用进行SQL注入攻击。必须用预处理语句来处理，既安全又能避免语法问题。

• 多余的状态判断与不合理的时间硬编码
  你把$state设为"1"后又判断$state==true，这个判断完全没必要；另外postedon硬编码成固定数字"3456787654"，应该用当前时间，比如用MySQL的NOW()函数自动生成，或者PHP的time()获取时间戳。

• 未校验请求类型，易触发Undefined index错误
  如果用户直接访问这个PHP文件（不是通过表单POST提交），$_POST变量会不存在，直接读取会触发Undefined index错误，导致流程中断。所以先得检查是不是POST请求。

修正后的代码 #

<?php
// 先校验请求方式，只允许POST访问
if ($_SERVER['REQUEST_METHOD'] !== 'POST') {
    die("请通过表单提交请求");
}

// 安全获取POST数据，处理字段不存在的情况
$name = trim($_POST['name'] ?? '');
$address = trim($_POST['address'] ?? '');
$city = trim($_POST['city'] ?? '');
$province = trim($_POST['province'] ?? '');
$testimonial = trim($_POST['testimonial'] ?? '');

// 检查必填字段是否为空
if (empty($name) || empty($testimonial)) {
    die("姓名和评价内容为必填项");
}

// 连接数据库
require 'ddbconfig.php';

// 使用预处理语句，避免SQL注入，同时保证语法正确
// 注意：这里移除了id字段（假设是自增主键），用NOW()生成当前时间
$stmt = mysqli_prepare($con, "INSERT INTO d_tbltestimonias (d_name, d_address, d_city, d_province, d_testimonial, postedon, state) VALUES (?, ?, ?, ?, ?, NOW(), 1)");
// 绑定参数，"sssss"表示5个字符串类型的参数
mysqli_stmt_bind_param($stmt, "sssss", $name, $address, $city, $province, $testimonial);

if (mysqli_stmt_execute($stmt)) {
?>
    <script type="text/javascript">
        window.top.location.href='testimonials.php?posted';
    </script>
<?php
} else {
    // 输出具体错误，方便排查
    echo "提交失败，错误信息: " . mysqli_error($con);
}

// 清理资源
mysqli_stmt_close($stmt);
mysqli_close($con);
?>

修正说明 #

1. 增加了请求方式校验，避免非法访问
2. 用??运算符处理可能不存在的POST字段，防止Undefined index错误
3. 使用预处理语句绑定参数，彻底解决SQL注入和特殊字符导致的语法问题
4. 用MySQL的NOW()自动生成提交时间，替代硬编码的固定值
5. 移除了多余的$state判断，直接在SQL中指定状态值
6. 增加了必填字段检查，提前拦截无效提交
7. 失败时输出具体的数据库错误信息，方便快速定位问题

内容的提问来源于stack exchange，提问作者Yusuf