本文详解PHP+MySQL开发中因未正确遍历查询结果集而导致的“只显示第一条数据”问题，通过修正mysqli_fetch_assoc()调用方式、添加WHERE条件过滤及防止SQL注入，帮助初学者写出安全、准确的订单详情查询逻辑。
本文详解php+mysql开发中因未正确遍历查询结果集而导致的“只显示第一条数据”问题，通过修正`mysqli_fetch_assoc()`调用方式、添加where条件过滤及防止sql注入，帮助初学者写出安全、准确的订单详情查询逻辑。
在您提供的代码中，核心问题有两个：一是SQL查询缺少WHERE子句，导致返回全部订单数据；二是仅调用一次mysqli_fetch_assoc()，因此无论点击哪个订单ID，都只取结果集的第一行（即数据库中第一条订单），而非对应$id的那条记录。
✅ 正确做法：按ID精准查询 + 安全绑定参数
首先，必须在SQL中加入 WHERE orders.orderID = ? 条件，并使用预处理语句（Prepared Statement） 防止SQL注入（尤其当$_GET['id']直接来自用户输入时）。以下是修复后的关键代码段：
// ✅ 使用预处理语句，安全获取指定 orderID 的订单详情
$id = (int)$_GET['id']; // 强制转为整型，基础防护
if ($id <= 0) {
echo "<h2>Invalid order ID!</h2>";
exit;
}
$query = 'SELECT
orders.orderID,
orders.orderon,
orders.pizzaextras,
customer.firstname,
customer.lastname,
orderlines.qty,
fooditems.pizza
FROM orders
INNER JOIN customer ON orders.customerID = customer.customerID
INNER JOIN orderlines ON orders.orderID = orderlines.orderID
INNER JOIN fooditems ON orderlines.itemID = fooditems.itemID
WHERE orders.orderID = ?'; // ? 关键：限定唯一订单
$stmt = mysqli_prepare($DBC, $query);
mysqli_stmt_bind_param($stmt, 'i', $id); // 'i' 表示整型参数
mysqli_stmt_execute($stmt);
$result = mysqli_stmt_get_result($stmt);
if (mysqli_num_rows($result) === 0) {
echo "<h2>No order found for ID #$id!</h2>";
mysqli_stmt_close($stmt);
mysqli_close($DBC);
exit;
}
// ✅ 此时只需 fetch 一次 —— 因为 WHERE 已确保结果唯一
$row = mysqli_fetch_assoc($result);
?>
<h1>Pizza Order Details View</h1>
<h2><a href="listorders.php">[Return to the orders listing]</a> | <a href="index.php">[Return to the main page]</a></h2>
<fieldset><legend>Order details #<?php echo htmlspecialchars($row['orderID']); ?></legend>
<dl>
<dt>Date & time ordered:</dt>
<dd><?php echo htmlspecialchars($row['orderon']); ?></dd>
<dt>Customer name:</dt>
<dd><?php echo htmlspecialchars($row['lastname'] . ', ' . $row['firstname']); ?></dd>
<dt>Extras:</dt>
<dd><?php echo htmlspecialchars($row['pizzaextras'] ?: 'None'); ?></dd>
<dt>Pizza item:</dt>
<dd><?php echo htmlspecialchars($row['pizza']) . ' × ' . (int)$row['qty']; ?></dd>
</dl>
</fieldset>⚠️ 注意事项与最佳实践
- 永远不要拼接用户输入到SQL中：原代码中 $query = "... WHERE orders.orderID = $id" 是严重安全隐患，易受SQL注入攻击。
- 验证并过滤输入：使用 (int) 强制转换或 filter_var($id, FILTER_VALIDATE_INT) 确保ID为合法整数。
- 输出时转义HTML特殊字符：使用 htmlspecialchars() 防止XSS攻击（如客户姓名含 <script> 标签）。
- JOIN逻辑需谨慎：当前多表JOIN可能产生笛卡尔积（如一个订单含多个披萨，则一行变多行）。若需展示全部商品项，请改用循环遍历；若仅需主订单信息，建议拆分查询或使用 GROUP_CONCAT() 聚合。
- 错误处理要明确：mysqli_stmt_error($stmt) 可用于调试预处理失败原因。
✅ 总结
问题根源在于：无WHERE条件 → 全表扫描；单次fetch → 固定取首行。修复只需两步：① 添加带参数绑定的WHERE子句；② 移除冗余循环，仅对唯一结果做一次fetch_assoc()。这样既保证数据准确性，又提升安全性与可维护性。
