PHP中安全高效地将JSON数据导入MySQL数据库

include("dbCon.php"); // 数据库连接文件

$fname = $_POST['fname']; // 表名/JSON文件名

if ($conn->connect_error) {
  die("Connection failed: " . $conn->connect_error);
}

// 创建表
$sql_create_table = "CREATE TABLE `".$fname."`(
  id bigint(20) NOT NULL AUTO_INCREMENT PRIMARY KEY,
  title VARCHAR(255) NOT NULL,
  imgurl VARCHAR(255) NOT NULL,
  content VARCHAR(20000) NOT NULL
)";

if ($conn->query($sql_create_table) === TRUE) {
   echo "Table ".$fname." created successfully";
} else {
   echo "Error creating table: " . $conn->error;
}

// 读取并解析JSON文件
$json_path = '../jsonFIle/'.$fname.'.json';
$json_content = file_get_contents($json_path);
$array_data = json_decode($json_content, true);

// 插入数据
foreach($array_data as $row) {
 $sql_insert_data = "INSERT INTO `".$fname."`(title, imgurl, content) VALUES('".$row["title"]."', '".$row["imgurl"]."', '".$row["content"]."')";
 mysqli_query($conn, $sql_insert_data);
}

$conn->close();

{
    "title":"NASA's record-breaking Lucy asteroid mission gearing up for October launch", 
    "imgurl":"record.jpg",
    "content":"Lucy is scheduled to launch atop a United Launch Alliance Atlas V rocket from Florida's Cape Canaveral Space Force Station on Oct."
}

{
   "title":"NASA','',''); DROP TABLE `newmainnews`; --",
   "imgurl": "",
   "content": ""
}

<?php
// dbCon.php 内容示例
// $servername = "localhost";
// $username = "root";
// $password = "";
// $dbname = "your_database";
// $conn = new mysqli($servername, $username, $password, $dbname);

include("dbCon.php"); // 确保dbCon.php正确连接数据库并返回$conn对象

$fname = $_POST['fname'] ?? 'default_table_name'; // 使用null合并运算符提供默认值，避免未定义索引错误

if ($conn->connect_error) {
  die("数据库连接失败: " . $conn->connect_error);
}

// 1. 创建表 (这里可以直接拼接表名，因为表名通常是受控的，但如果表名也来自用户输入，则需更严格的验证或白名单)
// 注意：如果表名也可能包含特殊字符或来自不可信来源，需要进行额外验证或使用白名单机制。
// 对于本例，假设$fname是经过验证的文件名，可以直接用于表名。
$sql_create_table = "CREATE TABLE IF NOT EXISTS `".$fname."`(
  id bigint(20) NOT NULL AUTO_INCREMENT PRIMARY KEY,
  title VARCHAR(255) NOT NULL,
  imgurl VARCHAR(255) NOT NULL,
  content VARCHAR(20000) NOT NULL
)";

if ($conn->query($sql_create_table) === TRUE) {
   echo "表 `".$fname."` 创建成功或已存在。<br>";
} else {
   echo "创建表错误: " . $conn->error . "<br>";
   $conn->close();
   exit(); // 创建表失败，停止执行
}

// 2. 读取并解析JSON文件
$json_path = '../jsonFIle/'.$fname.'.json';
if (!file_exists($json_path)) {
    die("错误: JSON文件不存在于 " . $json_path);
}
$json_content = file_get_contents($json_path);
$array_data = json_decode($json_content, true);

if (json_last_error() !== JSON_ERROR_NONE) {
    die("JSON解析错误: " . json_last_error_msg());
}

if (!is_array($array_data) || empty($array_data)) {
    echo "警告: JSON文件为空或解析后不是有效数组。<br>";
    $conn->close();
    exit();
}

// 3. 使用预处理语句插入数据
// 准备INSERT语句，使用问号(?)作为参数占位符
$sql_insert_template = "INSERT INTO `".$fname."`(title, imgurl, content) VALUES(?, ?, ?)";

// 创建预处理语句对象
if ($stmt = $conn->prepare($sql_insert_template)) {
    // 遍历JSON数据并绑定参数
    foreach($array_data as $row) {
        // 绑定参数：'sss'表示三个参数都是字符串类型
        // bind_param的参数顺序必须与占位符顺序一致
        $stmt->bind_param("sss", $row["title"], $row["imgurl"], $row["content"]);

        // 执行预处理语句
        if ($stmt->execute()) {
            // echo "数据插入成功。<br>";
        } else {
            echo "数据插入失败: " . $stmt->error . "<br>";
        }
    }
    // 关闭预处理语句
    $stmt->close();
    echo "所有数据处理完毕。<br>";
} else {
    echo "准备插入语句失败: " . $conn->error . "<br>";
}

// 关闭数据库连接
$conn->close();
?>