php - 根据用户输入 SQL 从数据库中填充字段

Question

我有一个表单，用户输入他们的 ID，然后从数据库中填充他们的名字？有一个完整的表格我只是复制了相关部分和下面的sql。

User ID: <input value="User ID" name="user_id">

$sql = "SELECT user_firstname, user_surname FROM users_tbl WHERE xxxx = users_tbl.user_id"
$result = pg_query($sql);

我已经做到了这一点，但我不知道该怎么做。

Answer 1

您应该过滤 GET 或 POST 表单变量。所以正确的方法是：

$sql = "SELECT user_firstname, user_surname FROM users_tbl WHERE users_tbl.user_id= ".$_POST['user_id'];
$result = pg_query($sql);

也不要忘记从 sql 注入中过滤 POST 和 GET 变量

Answer 2

您可能想要类似...

page1.php

<form method="POST" action="page2.php">
User ID: <input name="user_id" value="User ID">
<input type="submit" value="go">
</form>

page2.php

$id = mysql_escape_string( $_POST['user_id'] );
$sql = "SELECT `user_firstname`, `user_surname` FROM `users_tbl `WHERE `id` = '$id' LIMIT 1";
...