本文介绍如何将用户通过文本域提交的select语句执行后，自动适配未知列数并渲染为html表格，无需预定义字段结构，同时兼顾基础安全与可维护性。
在构建数据库查询调试界面或轻量级管理工具时，常需支持用户输入任意 SELECT 语句，并将结果以结构化表格形式呈现。关键挑战在于：列名与列数完全动态——可能来自 products（4列）、orders（8列）或任意自定义 JOIN 查询。以下是一个健壮、可直接集成的实现方案。
✅ 正确且安全的表格渲染逻辑
请将原代码中 //print all the results into a table 替换为以下完整块（含空结果处理与错误防御）：
if (!empty($rows)) {
// 提取首行键名作为表头（兼容空结果集）
$keys = array_keys($rows[0] ?? []);
echo '<table class="sql-result-table" border="1" cellpadding="8" cellspacing="0">';
// 表头
echo '<thead><tr>';
foreach ($keys as $key) {
echo '<th>' . htmlspecialchars($key, ENT_QUOTES, 'UTF-8') . '</th>';
}
echo '</tr></thead>';
// 表体
echo '<tbody>';
foreach ($rows as $row) {
echo '<tr>';
foreach ($keys as $key) {
// 安全输出：转义值，避免XSS；支持NULL/布尔等类型
$value = $row[$key] ?? '';
if ($value === null) {
$display = '<i>NULL</i>';
} elseif (is_bool($value)) {
$display = $value ? 'TRUE' : 'FALSE';
} else {
$display = htmlspecialchars((string)$value, ENT_QUOTES, 'UTF-8');
}
echo '<td>' . $display . '</td>';
}
echo '</tr>';
}
echo '</tbody></table>';
} else {
echo '<div class="info-msg">✅ Query executed successfully. No rows returned.</div>';
}⚠️ 重要注意事项
绝不直接拼接用户SQL：你当前使用 $db->prepare($trimmedSQL) 是严重错误且极度危险的！PDO::prepare() 仅支持参数化占位符（如 ? 或 :name），不能用于动态表名、列名或整条SQL字符串。此写法将导致SQL注入漏洞（例如输入 SELECT * FROM users; DROP TABLE users; --）。
✅ 正确做法：禁止开放任意SQL执行，或严格白名单校验（如仅允许 SELECT + 指定表 + 预设字段），或改用专业SQL解析器（如 sql-parser 库）做语法隔离。空结果鲁棒性：使用 $rows[0] ?? [] 避免 array_keys() 在空数组时报 Warning。
XSS防护：所有列名和单元格内容均经 htmlspecialchars() 转义，防止恶意HTML/JS注入。
用户体验优化：添加 CSS 类（如 sql-result-table）便于样式定制；对 NULL 和布尔值作语义化显示；空结果提供友好提示。
? 总结
动态表格渲染的核心是利用 PDO::FETCH_ASSOC 返回的关联数组天然携带字段名，再通过 array_keys() 提取列头，双层 foreach 构建行列结构。但必须前置强调：生产环境严禁执行用户任意SQL。建议将该功能限定于可信开发环境，并配合IP限制、查询超时、只读数据库连接等措施。若需更安全的替代方案，可考虑基于预定义视图或GraphQL接口封装数据访问。
