本文详解 PHP 表单提交后数据库写入空白行的根本原因（误用 isset() 赋值）、SQL 注入风险，并提供基于预处理语句的安全、健壮的解决方案。
本文详解 php 表单提交后数据库写入空白行的根本原因（误用 `isset()` 赋值）、sql 注入风险，并提供基于预处理语句的安全、健壮的解决方案。
在开发 PHP 表单提交功能时，新手常遇到“数据库成功插入一行，但所有字段均为 NULL 或空字符串”的问题。根本原因并非连接失败或表结构错误，而是对 PHP 的 isset() 函数存在严重误解——它仅用于判断变量是否存在且不为 null，返回布尔值（true/false），而非获取实际提交的数据。
❌ 错误写法：用 isset() 直接赋值（导致写入 1 或 0）
$lname = isset($_POST['lastname']); // 错！$lname 是 true/false，不是用户输入的字符串
当 $_POST['lastname'] 存在时，$lname 变为 true → 插入数据库时自动转为整数 1；若不存在则为 false → 转为 0。这正是你之前看到“只存 1”的原因；而后续空白行，则可能因字段名不匹配（如 HTML 中是 phonenum，但 PHP 读取 $_POST['phone']）或表单未正确提交所致。
✅ 正确做法：先验证存在性，再安全取值
应分两步操作：
- 验证字段是否提交（防止未定义索引警告）；
-
从
$_POST中提取真实值，并进行过滤与转义。
更关键的是，必须使用 MySQLi 预处理语句（Prepared Statements） 防止 SQL 注入——直接拼接用户输入的 $sql = "INSERT ... '$fname'" 极其危险，攻击者可轻易通过表单注入恶意 SQL。
立即学习“PHP免费学习笔记（深入）”；
✅ 安全、完整的修复方案（含错误处理与验证）
1. 修正 HTML 表单（关键修复点）
- 将
<button type="button"></button>改为<button type="submit"></button>，否则表单根本不会提交； - 确保
name属性与 PHP 中读取的键名严格一致（如phonenum对应$_POST['phonenum']，非$_POST['phone']）：
<form action="database.php" method="POST">
First Name:<br />
<input type="text" name="firstname" required />
<br /><br />
Last Name:<br />
<input type="text" name="lastname" required />
<br /><br />
Email:<br />
<input type="email" name="email" required />
<br /><br />
Phone Number:<br />
<input type="tel" name="phonenum" />
<br /><br />
Address:<br />
<input type="text" name="address" />
<br /><br />
City:<br />
<input type="text" name="city" />
<br /><br />
State:<br />
<input type="text" name="state" maxlength="2" />
<br /><br />
Zip Code:<br />
<input type="text" name="zipcode" pattern="\d{5}(-\d{4})?" />
<br /><br />
<button type="submit">Submit</button> <!-- ✅ 必须是 submit -->
</form>2. 重构 PHP 处理逻辑（database.php）
<?php
require_once("connection.php"); // 使用 require_once 更严谨
// ✅ 1. 安全获取并验证 POST 数据
$fname = filter_input(INPUT_POST, 'firstname', FILTER_SANITIZE_STRING) ?: '';
$lname = filter_input(INPUT_POST, 'lastname', FILTER_SANITIZE_STRING) ?: '';
$email = filter_input(INPUT_POST, 'email', FILTER_SANITIZE_EMAIL) ?: '';
$phone = filter_input(INPUT_POST, 'phonenum', FILTER_SANITIZE_STRING) ?: '';
$addr = filter_input(INPUT_POST, 'address', FILTER_SANITIZE_STRING) ?: '';
$city = filter_input(INPUT_POST, 'city', FILTER_SANITIZE_STRING) ?: '';
$state = filter_input(INPUT_POST, 'state', FILTER_SANITIZE_STRING) ?: '';
$zip = filter_input(INPUT_POST, 'zipcode', FILTER_SANITIZE_STRING) ?: '';
// ✅ 2. 基础必填项校验（可根据业务调整）
if (empty($fname) || empty($lname) || empty($email)) {
die("Error: First Name, Last Name and Email are required.");
}
// ✅ 3. 使用预处理语句插入（防 SQL 注入 + 类型安全）
$stmt = $conn->prepare(
"INSERT INTO CustomerInfo (FirstName, LastName, Email, PhoneNum, Address, City, State, ZipCode)
VALUES (?, ?, ?, ?, ?, ?, ?, ?)"
);
$stmt->bind_param('ssssssss', $fname, $lname, $email, $phone, $addr, $city, $state, $zip);
try {
$stmt->execute();
echo "<p>✅ Row inserted successfully! Record saved.</p>";
} catch (mysqli_sql_exception $e) {
error_log("Database insert failed: " . $e->getMessage());
echo "<p>❌ Insert failed. Please try again.</p>";
} finally {
$stmt->close();
}
?>3. 连接文件优化（connection.php）
<?php
$servername = "xxx";
$username = "xxx";
$password = "xxx";
$dbname = "xxx";
$conn = new mysqli($servername, $username, $password, $dbname);
if ($conn->connect_error) {
die("Connection failed: " . $conn->connect_error);
}
// ✅ 启用异常模式，让错误更易捕获
mysqli_report(MYSQLI_REPORT_ERROR | MYSQLI_REPORT_STRICT);
?>⚠️ 关键注意事项
-
永远不要信任用户输入：
filter_input()提供基础过滤，但复杂场景需结合正则、长度限制等； - 预处理语句是强制标准：它将 SQL 结构与数据分离，彻底杜绝注入；
-
type="button"≠ 提交表单：必须用type="submit"或显式 JavaScriptform.submit()； -
字段名一致性：HTML
name="phonenum"→ PHP$_POST['phonenum']，拼写/大小写必须完全匹配； -
启用错误报告：开发阶段在
connection.php加mysqli_report(MYSQLI_REPORT_ERROR | MYSQLI_REPORT_STRICT)，便于快速定位 SQL 错误。
遵循以上方案，你的表单将稳定、安全地将真实用户数据写入数据库，同时具备良好的可维护性与安全性。
