17370845950

本文详解如何根据数据库查询结果动态包含对应地区的 php 页面，重点解决赋值与比较混淆、sql 注入风险、大小写不一致及代码结构混乱等常见问题，并提供安全、可维护的完整示例。

在 PHP 开发中，根据业务数据（如用户所在州）动态加载不同地区专属页面（如 east.php、kc.php、ca.php）是一种常见需求。但原始代码存在多个关键缺陷，不仅导致逻辑失效（例如所有分支都进入第一个 if），还带来严重安全隐患。下面我们将从问题诊断到最佳实践，逐步构建健壮方案。

? 核心问题分析

1. 赋值 vs 比较错误：if($state='tx') 是赋值语句（永远返回 'tx'，即真值），应改为严格比较 if ($state === 'TX')；
2. 大小写不一致：数据库中存储的州码可能是大写（如 'TX'），而代码中却用小写 'tx' 或混合 'KS'/'CA'，需统一标准化；
3. SQL 注入漏洞：直接拼接 $_GET['btn'] 到 SQL 中，攻击者可构造恶意输入破坏数据库；
4. 逻辑冗余与结构混乱：多次开关 PHP 标签、未验证 $row 是否存在、未释放资源等。

✅ 正确实现（安全、清晰、可扩展）

connect_error) {
    die("数据库连接失败: " . $mysqli->connect_error);
}

// 2. 获取并校验输入
$btnfromform = $_GET['btn'] ?? '';
if (empty($btnfromform)) {
    die("错误：未提供电话号码");
}

// 3. 预处理查询（防止 SQL 注入）
$stmt = $mysqli->prepare("SELECT state FROM legacy_escalation WHERE btn LIKE ?");
$searchPattern = "%{$btnfromform}%"; // 或使用精确匹配：? 并绑定 $btnfromform
$stmt->bind_param("s", $btnfromform);
$stmt->execute();
$result = $stmt->get_result();

// 4. 处理查询结果
if ($result->num_rows > 0) {
    $row = $result->fetch_assoc();
    $state = strtoupper(trim($row['state'])); // 统一转为大写并去空格

    // 5. 严格匹配并包含对应文件（推荐使用映射数组提升可维护性）
    $pageMap = [
        'TX' => 'east.php',
        'KS' => 'kc.php',
        'CA' => 'ca.php',
        // 可随时扩展：'NY' => 'ny.php', ...
    ];

    if (isset($pageMap[$state])) {
        include $pageMap[$state];
    } else {
        echo "提示：暂无该州（{$state}）专属页面";
    }
} else {
    echo "未找到匹配的客户信息";
}

// 6. 清理资源
$stmt->close();
$mysqli->close();
?>

⚠️ 关键注意事项

• 永远使用预处理语句：避免 SQL 注入是底线，切勿拼接用户输入；
• 状态码标准化：用 strtoupper() + trim() 统一处理州码，确保比较一致性；
• 避免多次 include：原始代码在 while 循环中可能重复包含，此处仅取首条记录（符合业务逻辑）；
• 增强健壮性：检查 $_GET['btn'] 是否为空、数据库连接是否成功、目标文件是否存在（可选加 file_exists() 判断）；
• 未来扩展建议：将 $pageMap 移至配置文件，或改用 switch 结构；若页面逻辑复杂，推荐改用 require_once + 路由分发。

通过以上重构，代码不仅修复了“只执行第一个条件”的 Bug，更具备安全性、可读性与长期可维护性——这才是生产环境应有的 PHP 实践标准。