本文详解如何用 PHP 安全、高效地处理多组复选框（如角色类型 + 装备类型）的联合筛选，避免 foreach() argument must be of type array|object 错误，并构建可扩展的 SQL 查询逻辑。

本文详解如何用 php 安全、高效地处理多组复选框（如角色类型 + 装备类型）的联合筛选，避免 `foreach() argument must be of type array|object` 错误，并构建可扩展的 sql 查询逻辑。

在实际开发中，使用复选框实现多维度数据筛选（例如“适用职业”和“适用部位”）非常常见，但初学者常因 HTML 命名混乱、PHP 数组校验缺失或 SQL 逻辑耦合导致报错或结果异常。原问题的核心错误 foreach() argument must be of type array | object, string given 源于误将非数组（如未提交的 $_GET['choice1'] 或单值字符串）直接用于 foreach —— 这通常发生在表单未勾选任何选项时，$_GET['choice1'] 根本不存在，或被浏览器以字符串形式提交（如 choice1=armor 而非 choice1[]=armor）。

✅ 正确的 HTML 结构设计

首先，应语义化分离筛选维度，避免混用 name="choice[]" 处理不同字段。推荐为每类筛选条件使用独立且语义明确的 name：

<!-- 角色筛选（forWho） -->
<div class="runesFilter-view">
  <h5>Do kogo?</h5>
  <div class="runesCheckBox">
    <input type="checkbox" name="forWho[]" value="tank" id="forWho-tank">
    <label for="forWho-tank">dla Tanka</label>
  </div>
  <div class="runesCheckBox">
    <input type="checkbox" name="forWho[]" value="mage" id="forWho-mage">
    <label for="forWho-mage">dla Maga</label>
  </div>
  <div class="runesCheckBox">
    <input type="checkbox" name="forWho[]" value="archer" id="forWho-archer">
    <label for="forWho-archer">dla Łucznika</label>
  </div>
</div>

<!-- 装备类型筛选（runeType） -->
<div class="runesFilter-view">
  <h5>Na co?</h5>
  <div class="runesCheckBox">
    <input type="checkbox" name="runeType[]" value="weapon" id="runeType-weapon">
    <label for="runeType-weapon">na Broń</label>
  </div>
  <div class="runesCheckBox">
    <input type="checkbox" name="runeType[]" value="armor" id="runeType-armor">
    <label for="runeType-armor">na Zbroję</label>
  </div>
  <!-- 其他 runeType 选项... -->
</div>

⚠️ 关键点：所有复选框必须使用 name="xxx[]"（带方括号），否则 PHP 接收时仅保留最后一个值，无法形成数组。

btpanel phpsite 宝塔面板PHP网站

宝塔面板 PHP 网站管理：站点创建、删除、启停、PHP 版本切换、域名管理、SSL证书管理、伪静态管理、数据库管理

下载

✅ 安全、健壮的 PHP 后端处理

以下代码实现双维度联合筛选（支持 forWho 和 runeType 任意组合），并防御常见风险：

立即学习“PHP免费学习笔记（深入）”；

if (isset($_GET['btSubmit'])) {
    // 初始化筛选条件数组（默认为空，表示不限制）
    $filters = [
        'forWho'   => $_GET['forWho']   ?? [],
        'runeType' => $_GET['runeType'] ?? []
    ];

    // 验证：至少选择一个维度的一项
    if (empty($filters['forWho']) && empty($filters['runeType'])) {
        echo "<p class='align-center'><span class='badge bg-danger'>Wybierz przynajmniej jedną opcję z filtrów</span></p>";
        exit;
    }

    // 构建动态 WHERE 条件（防 SQL 注入：使用白名单校验值）
    $wheres = [];
    $params = [];

    // 处理 forWho 筛选（白名单校验）
    if (!empty($filters['forWho'])) {
        $validForWho = ['tank', 'mage', 'archer'];
        $safeForWho = array_intersect($filters['forWho'], $validForWho);
        if (!empty($safeForWho)) {
            $placeholders = str_repeat('?,', count($safeForWho) - 1) . '?';
            $wheres[] = "forWho IN ($placeholders)";
            $params = array_merge($params, $safeForWho);
        }
    }

    // 处理 runeType 筛选（白名单校验）
    if (!empty($filters['runeType'])) {
        $validRuneType = ['weapon', 'armor', 'ring', 'amulet', 'artefakt'];
        $safeRuneType = array_intersect($filters['runeType'], $validRuneType);
        if (!empty($safeRuneType)) {
            $placeholders = str_repeat('?,', count($safeRuneType) - 1) . '?';
            $wheres[] = "runeType IN ($placeholders)";
            $params = array_merge($params, $safeRuneType);
        }
    }

    // 组装最终查询（使用预处理语句更佳，此处为兼容 mysqli 的简易安全写法）
    $whereClause = !empty($wheres) ? 'WHERE ' . implode(' AND ', $wheres) : '';
    $sql = "SELECT * FROM runes $whereClause ORDER BY id";

    // 【推荐升级】使用 PDO 预处理（更安全）：
    // $stmt = $pdo->prepare($sql);
    // $stmt->execute($params);
    // $results = $stmt->fetchAll(PDO::FETCH_ASSOC);

    // 当前 mysqli 方案（需确保 $polaczenie 已建立连接）
    $result = mysqli_query($polaczenie, $sql);

    if (!$result) {
        echo "<p class='align-center'><span class='badge bg-danger'>Błąd zapytania: " . mysqli_error($polaczenie) . "</span></p>";
        exit;
    }

    $count = mysqli_num_rows($result);
    if ($count === 0) {
        echo "<p class='align-center'><span class='badge bg-warning'>Brak wyników spełniających kryteria filtrów</span></p>";
    } else {
        echo "<p class='align-center'><span class='badge bg-success'>Znaleziono <strong>$count</strong> pasujących run</span></p>";
        while ($row = mysqli_fetch_assoc($result)) {
            $imgName = str_replace(' ', '-', $row['runeName']);
            echo <<<HTML
<div class='runeWrapper'>
  <div class='runeBoxImg {$row['forWho']}'><div class='runeImg'><img src='img/runes/rune-$imgName.png' alt='{$row['runeName']}' /></div></div>
  <div class='runeBox'><p>Description 1</p></div>
  <div class='runeBox'><p>Description 2</p></div>
  <div class='runeBox'><p>Description 3</p></div>
</div>
HTML;
        }
    }
}

? 关键总结与最佳实践

• 命名即契约：每个筛选维度使用独立、语义化的 name="xxx[]"，杜绝 choice[]/choice1[] 等模糊命名；
• 空值防御：始终用 ?? [] 或 is_array() 校验输入，禁止直接 foreach($_GET['xxx'])；
• SQL 安全：对用户输入值做白名单校验（如 array_intersect），避免拼接不可信字符串；
• 逻辑解耦：将“筛选条件收集”、“SQL 构建”、“结果渲染”分层处理，提升可维护性；
• 未来升级建议：迁移到 PDO + 预处理语句，彻底杜绝 SQL 注入；引入 AJAX 实现无刷新筛选，提升用户体验。

通过以上重构，你将获得一个健壮、可读、易扩展的多条件筛选系统，同时彻底规避原始代码中的类型错误与安全漏洞。