PHP留言板必须用mysqli预处理语句安全存数据，防SQL注入；加htmlspecialchars过滤XSS；建created_at索引优化查询；后端校验重复提交与机器人；删除操作需权限控制、令牌验证及日志记录。
PHP 留言板不是“写个表单+存文件”就能上线的，核心在于：数据要能持久存、用户不能乱提交、后台得能管——否则要么留不了言，要么满屏垃圾信息，要么被扫库拖垮服务器。
怎么用 mysqli 安全存留言，而不是用 fwrite() 往文件里硬塞
用文件存留言看着简单，但并发一高就丢数据，没索引查起来慢，更没法防 SQL 注入或 XSS。必须走数据库，且不能拼接 SQL 字符串。
- 连接数据库用
mysqli面向对象方式，别用已废弃的mysql_*函数 - 插入前必须用
prepare()+bind_param()，比如：$stmt = $mysqli->prepare("INSERT INTO messages (name, email, content) VALUES (?, ?, ?)"); $stmt->bind_param("ssi", $name, $email, $content); $stmt->execute(); -
$name和$email建议加htmlspecialchars()再入库（或至少在输出时转义），否则别人留个<script>alert(1)</script>就能弹窗 - 表结构里
content别用TEXT就完事，加INDEX对created_at字段，不然翻页查 1000 条以后的留言会卡死
表单提交后怎么防止重复提交和机器人灌水
用户点两次“提交”，后端就收到两条一样的留言；爬虫批量 POST，你网站瞬间变广告墙。
- 前端加
disabled和按钮文字变化，只是体验优化，不能当防护用 - 后端必须验证
$_POST是否重复：存一条留言后，把md5($ip . $user_agent . $content)存进缓存（如redis），10 分钟内相同哈希值直接拒收 - 加简单验证码：不用图形识别，用
$_SESSION存一个随机数，表单带隐藏字段传回来比对；或者用时间戳 + 签名：hash_hmac('sha256', $timestamp, $_SESSION['secret'])，过期即失效 - 检查
$_SERVER['HTTP_REFERER']只能防手误，不能防工具，但配合$_SERVER['HTTP_USER_AGENT']过滤掉明显异常 UA（比如含python-requests却没登录态）能筛掉一半脚本
怎么让管理员能删留言又不暴露后台路径和权限漏洞
别写个 admin.php?id=123&act=del 就完事——ID 递增+无权限校验=谁都能删别人留言。
立即学习“PHP免费学习笔记（深入）”；
- 删除操作必须走 POST，URL 里不带
id，用$_POST['token']校验（生成方式同上验证码签名） - 查留言列表时，只查当前登录管理员有权限看的栏目，比如加字段
status ENUM('pending','approved','rejected')，普通用户只能看到approved的 - 删之前再查一次数据库确认该留言属于当前操作范围（比如
WHERE id = ? AND site_id = ?），别信前端传来的任何 ID - 日志记一下：
error_log("DELETE message {$id} by user {$admin_id} at " . date('Y-m-d H:i:s'));，出问题时有据可查
真正麻烦的从来不是“怎么显示留言”，而是“怎么不让坏人把留言板变成跳板”。过滤、校验、权限、日志——每一步漏掉一个，上线三天就可能被挂马或刷屏。代码写完别急着放线上，先拿 curl -X POST 模拟几次异常请求试试反应。
