PHP与MySQL安全更新用户资料：字段校验与重复性检查

<!-- editProfile.php --> <form action="change.php" method="POST">   <table>     <tr>       <td>用户名:</td>       <td>         <label for="changeUsername"></label>         <input type="text" name="changeUsername" placeholder="<?php echo htmlspecialchars($_SESSION['name']); ?>" id="changeUsername">       </td>     </tr>     <tr>       <td>姓名:</td>       <td>         <label for="changeNom"></label>         <input type="text" name="changeNom" placeholder="<?php echo htmlspecialchars($nom); ?>" id="changeNom">       </td>     </tr>   </table>   <input type="submit" value="修改"> </form>

<?php session_start(); // 确保会话已启动  // 假设 $con 是你的数据库连接对象 (mysqli) // 例如：$con = new mysqli("localhost", "username", "password", "database"); // 检查连接 if ($con->connect_error) {     die("数据库连接失败: " . $con->connect_error); }  // 获取当前用户ID $currentId = $_SESSION['id'];  // --- 处理用户名更新 --- $newUsername = $_POST['changeUsername'] ?? ''; // 使用null合并运算符，避免未定义索引警告  $usernameMessage = ''; // 用于存储用户名更新结果消息 $usernameUpdated = false;  if (empty($newUsername)) {     $usernameMessage = "用户名不能为空。"; } else {     // 1. 检查新用户名是否已被其他用户占用     // 注意：这里需要排除当前用户自己的ID，允许用户提交其现有用户名而不报错     if ($stmt = $con->prepare('SELECT ID FROM users WHERE USERNAME = ? AND ID != ?')) {         $stmt->bind_param('si', $newUsername, $currentId); // 's' for string, 'i' for integer         $stmt->execute();         $stmt->store_result(); // 存储结果，以便获取行数          if ($stmt->num_rows > 0) {             $usernameMessage = "用户名 '{$newUsername}' 已被其他用户占用。";         }         $stmt->close(); // 关闭预处理语句     } else {         $usernameMessage = "数据库查询失败，请稍后再试。";     }      // 2. 如果用户名未被占用，则执行更新操作     if (empty($usernameMessage)) { // 如果前面没有错误消息，说明用户名可用         if ($stmt = $con->prepare("UPDATE users SET USERNAME = ? WHERE ID = ? ")) {             $stmt->bind_param('si', $newUsername, $currentId); // 's' for string, 'i' for integer             if ($stmt->execute()) {                 $usernameMessage = "用户名更新成功！";                 $usernameUpdated = true;                 session_regenerate_id(); // 安全实践：更新敏感信息后重新生成会话ID                 $_SESSION['name'] = $newUsername; // 更新会话中的用户名             } else {                 $usernameMessage = "用户名更新失败，请稍后再试。";             }             $stmt->close(); // 关闭预处理语句         } else {             $usernameMessage = "数据库更新准备失败，请稍后再试。";         }     } } echo "用户名更新结果：" . $usernameMessage . "<br>";   // --- 处理姓名（Nom）更新 --- $newNom = $_POST['changeNom'] ?? ''; // 使用null合并运算符  $nomMessage = ''; // 用于存储姓名更新结果消息 $nomUpdated = false;  if (empty($newNom)) {     $nomMessage = "姓名不能为空。"; } else {     // 直接执行更新操作，姓名不需要唯一性检查     if ($stmt = $con->prepare("UPDATE users SET NOM = ? WHERE ID = ? ")) {         $stmt->bind_param('si', $newNom, $currentId); // 's' for string, 'i' for integer         if ($stmt->execute()) {             $nomMessage = "姓名更新成功！";             $nomUpdated = true;             // 如果姓名也存储在session中，也需要更新             // $_SESSION['nom'] = $newNom;         } else {             $nomMessage = "姓名更新失败，请稍后再试。";         }         $stmt->close(); // 关闭预处理语句     } else {         $nomMessage = "数据库更新准备失败，请稍后再试。";     } } echo "姓名更新结果：" . $nomMessage . "<br>";  // 可以在这里重定向用户或显示完整的更新状态页面 // header('Location: profile.php?status=success'); // exit();  $con->close(); // 关闭数据库连接 ?>