PHP与MySQL多对多关系管理：构建安全高效的学生选课系统

<?php
/**
 * 从数据库获取所有课程
 * @param mysqli $link 数据库连接对象
 * @return array 课程数组，每个元素包含cr_id, cr_name, cr_desc
 */
function getAllCourses(mysqli $link): array {
    $sql = "SELECT cr_id, cr_name, cr_desc FROM tbl_courses ORDER BY cr_name";
    $result = mysqli_query($link, $sql);
    $courses = [];
    if ($result) {
        while ($row = mysqli_fetch_assoc($result)) {
            $courses[] = $row;
        }
        mysqli_free_result($result); // 释放结果集
    } else {
        // 错误处理，例如记录日志
        error_log("Error fetching courses: " . mysqli_error($link));
    }
    return $courses;
}

// 假设 $link 是已建立的数据库连接
// $link = connection_db();
// $allCourses = getAllCourses($link);
?>

<div class="form-group">
    <label class="col-form-label">选择课程</label>
    <div class="form-check">
        <?php
        // 假设 $allCourses 变量已通过 getAllCourses($link) 获取
        foreach ($allCourses as $course): ?>
            <div class="form-check form-check-inline">
                <!-- value 属性现在是课程ID -->
                <input class="form-check-input" name="course[]" type="checkbox" value="<?= htmlspecialchars($course['cr_id']) ?>">
                <label class="form-check-label"><?= htmlspecialchars($course['cr_name']) ?></label>
            </div>
        <?php endforeach; ?>
    </div>
</div>

<?php
if (isset($_POST['submit'])) {
    // 假设 connection_db() 返回一个 mysqli 连接对象
    $link = connection_db(); 
    if (!$link) {
        die("数据库连接失败: " . mysqli_connect_error());
    }

    $studentName  = trim($_POST['sname']);
    $studentEmail = trim($_POST['semail']);
    $studentCode  = trim($_POST['scode']); // 学生代码作为唯一标识

    // 选中的课程ID数组
    $selectedCourses = $_POST['course'] ?? []; 

    // 确保 studentCode 存在且有效
    if (empty($studentCode)) {
        echo "<script>alert('ERROR! Student Code is required.');</script>";
        // 适当的错误处理，例如重定向或显示错误信息
        exit;
    }

    // 事务开始，确保数据一致性
    mysqli_begin_transaction($link);

    try {
        // 插入学生信息
        // 使用预处理语句防止SQL注入
        $queryStudent = "INSERT INTO tbl_students (st_name, st_email, st_code) VALUES (?, ?, ?)";
        $stmtStudent = mysqli_prepare($link, $queryStudent);
        if (!$stmtStudent) {
            throw new Exception("准备学生插入语句失败: " . mysqli_error($link));
        }
        // "sss" 表示三个参数都是字符串类型 (string, string, string)
        mysqli_stmt_bind_param($stmtStudent, "sss", $studentName, $studentEmail, $studentCode);
        if (!mysqli_stmt_execute($stmtStudent)) {
            throw new Exception("执行学生插入失败: " . mysqli_stmt_error($stmtStudent));
        }
        mysqli_stmt_close($stmtStudent);

        // 获取新插入学生的ID (如果 st_id 是自增主键)
        // 如果 st_code 是主键，则直接使用 $studentCode
        // $lastInsertedStudentId = mysqli_insert_id($link); 
        // 假设 st_code 是唯一标识，我们直接用它来关联课程
        $currentStudentCode = $studentCode; 

        // 插入课程关联信息到中间表
        $queryCourseLink = "INSERT INTO tbl_students_courses (st_id, cr_id, date_insc) VALUES (?, ?, ?)";
        $stmtCourseLink = mysqli_prepare($link, $queryCourseLink);
        if (!$stmtCourseLink) {
            throw new Exception("准备课程关联插入语句失败: " . mysqli_error($link));
        }

        $currentDate = date('Y-m-d H:i:s');
        foreach ($selectedCourses as $courseId) {
            // "sis" 表示参数类型为 string, integer, string (st_id, cr_id, date_insc)
            // 注意：如果 st_id 是自增ID，这里应该是 integer。如果 st_code 是 string，则为 "sss"
            // 假设 tbl_students_courses 中的 st_id 引用 tbl_students 的 st_code (string)
            mysqli_stmt_bind_param($stmtCourseLink, "sis", $currentStudentCode, $courseId, $currentDate);
            if (!mysqli_stmt_execute($stmtCourseLink)) {
                throw new Exception("执行课程关联插入失败 (Course ID: $courseId): " . mysqli_stmt_error($stmtCourseLink));
            }
        }
        mysqli_stmt_close($stmtCourseLink);

        // 提交事务
        mysqli_commit($link);
        echo "<script>alert('数据保存成功');</script>";
        print "<script>top.location = 'index.php?id=2';</script>";

    } catch (Exception $e) {
        // 回滚事务
        mysqli_rollback($link);
        echo "<script>alert('ERROR! 数据保存失败: " . $e->getMessage() . "');</script>";
        // 记录详细错误信息
        error_log("数据保存失败: " . $e->getMessage() . " - Trace: " . $e->getTraceAsString());
    } finally {
        mysqli_close($link);
    }
}
?>