本文详解如何正确获取HTML下拉菜单提交的客户名称，并通过预处理语句安全查询数据库中的对应邮编，避免SQL注入，同时解决mysqli_query()返回结果集无法直接输出的问题。
本文详解如何正确获取html下拉菜单提交的客户名称，并通过预处理语句安全查询数据库中的对应邮编，避免sql注入，同时解决`mysqli_query()`返回结果集无法直接输出的问题。
在PHP Web开发中，常见需求是：用户从动态生成的下拉列表中选择一项（如客户名称），提交后在结果页显示该客户的关联信息（如邮编）。但初学者常误以为 mysqli_query() 的返回值可直接 echo 输出——实际上它返回的是一个 MySQLi Result 对象，必须通过 fetch_assoc()、fetch_array() 或 fetch_object() 等方法从中提取具体字段值。
以下为完整、安全、可运行的解决方案：
✅ 修正后的 result.php（含防注入与结果提取）
<?php
require_once('config.php');
// 1. 获取并过滤用户输入
$customerv = $_POST['Customer'] ?? '';
if (empty($customerv)) {
die("错误：未选择客户。");
}
// 2. 使用预处理语句防止SQL注入（强烈推荐）
$stmt = $conn->prepare("SELECT shiptozipcode FROM BP WHERE BPName = ?");
$stmt->bind_param("s", $customerv);
$stmt->execute();
$result = $stmt->get_result();
// 3. 提取并输出结果（假设BPName唯一，最多一行）
if ($row = $result->fetch_assoc()) {
echo "<table border='1'><tr><th>客户名称</th><th>邮编</th></tr>";
echo "<tr><td>" . htmlspecialchars($customerv) . "</td><td>" . htmlspecialchars($row['shiptozipcode']) . "</td></tr>";
echo "</table>";
} else {
echo "<p>未找到客户“" . htmlspecialchars($customerv) . "”的信息。</p>";
}
$stmt->close();
$conn->close();
?>⚠️ 关键注意事项：
- 绝不拼接SQL字符串：原始代码中 $sql = "SELECT ... WHERE BPName ='$customerv'"; 存在严重SQL注入风险。攻击者可提交 ' OR '1'='1 等恶意值，导致数据泄露或删除。
- 结果集需显式提取：$conn->query() 返回对象，必须调用 fetch_*() 方法才能获取字段值；直接 echo $result 输出的是 mysqli_result Object 字符串（如 mysqli_result Object），无实际数据。
- 输入校验不可省略：使用 ?? '' 和 empty() 避免未定义索引警告；htmlspecialchars() 防止XSS攻击。
- 资源及时释放：调用 close() 释放数据库连接和语句句柄，提升性能与稳定性。
? 补充建议（增强健壮性）：
- 若客户名含特殊字符（如单引号、中文空格），预处理语句自动转义，无需手动处理；
- 可在 index.php 的 <select> 中为每个 <option> 添加 data-code 属性，改用 BPCode（主键/唯一码）作为提交值，比名称更可靠（避免重名或空格问题）；
- 生产环境应启用错误报告：mysqli_report(MYSQLI_REPORT_ERROR | MYSQLI_REPORT_STRICT);，便于快速定位查询异常。
遵循以上实践，即可安全、稳定地实现下拉选择→数据库查询→结果展示的完整流程。
