PHP与MySQL：从数组ID高效构建HTML下拉菜单及安全实践

<?php
// 假设数据库连接已建立
// $conn = mysqli_connect($dbhost, $dbuser, $dbpass, $dbname) or die("数据库连接失败");

// 示例：从ADMIN表获取逗号分隔的ID字符串
// 实际应用中，$_SESSION["adminusername"] 应经过严格验证和过滤
$adminId = $_SESSION["adminusername"]; // 假设已从会话中获取管理员ID

// 注意：这里使用了mysqli_real_escape_string进行初步防范，但预处理语句更安全
$sqlAdmin = "SELECT Files FROM ADMIN WHERE id = '" . mysqli_real_escape_string($conn, $adminId) . "'";
$resultAdmin = mysqli_query($conn, $sqlAdmin);

if (!$resultAdmin) {
    die("查询ADMIN表失败: " . mysqli_error($conn));
}

$isAdminData = mysqli_fetch_array($resultAdmin);
$arrayData = $isAdminData["Files"] ?? ''; // 例如："26,27,28,29"，使用null合并运算符防止未定义索引

// 将逗号分隔的字符串转换为数组
$arrayIds = explode(',', $arrayData);

// 过滤空字符串，以防出现 ",26," 这样的情况导致空ID
$arrayIds = array_filter($arrayIds, 'is_numeric'); 
?>

<?php
// 假设数据库连接 $conn 仍然有效

$selectHtml = '<select class="smallInput" name="serverfile" tabindex="6">';

foreach ($arrayIds as $singleID) {
    // 确保ID是整数或经过验证，防止SQL注入
    // 对于整数ID，(int) 强制类型转换是一种简单有效的防范
    $cleanSingleID = (int)$singleID; 

    $sqlServers = "SELECT FileID, FileTitle FROM Servers WHERE FileType = 'CFG' AND FileID = " . $cleanSingleID;
    $resultServers = mysqli_query($conn, $sqlServers);

    if ($resultServers && mysqli_num_rows($resultServers) > 0) {
        while ($rs = mysqli_fetch_array($resultServers)) {
            // 使用 htmlspecialchars() 防止XSS攻击
            $selectHtml .= '<option value="' . htmlspecialchars($rs['FileID']) . '">' . htmlspecialchars($rs['FileTitle']) . '</option>';
        }
    }
}

$selectHtml .= '</select>';
echo $selectHtml;

// 所有数据库操作完成后关闭连接
// mysqli_close($conn);
?>

<?php
// 假设数据库连接已建立
// $conn = mysqli_connect($dbhost, $dbuser, $dbpass, $dbname) or die("数据库连接失败");

// 1. 准备SQL查询语句
// 使用FIND_IN_SET将Servers表的FileID与ADMIN表的Files字段进行匹配
// 并通过JOIN将两个表关联起来
$sql = "
    SELECT s.FileID, s.FileTitle
    FROM Servers AS s
    JOIN ADMIN AS a ON FIND_IN_SET(s.FileID, a.Files)
    WHERE s.FileType = 'CFG'
    AND a.id = ?
";

// 2. 准备预处理语句
$stmt = mysqli_prepare($conn, $sql);

if ($stmt === false) {
    die("SQL预处理失败: " . mysqli_error($conn));
}

// 3. 绑定参数
// "s" 表示参数类型为字符串 (string)
// $_SESSION["adminusername"] 是要绑定的值
$adminUsername = $_SESSION["adminusername"] ?? ''; // 确保变量存在
mysqli_stmt_bind_param($stmt, "s", $adminUsername);

// 4. 执行预处理语句
mysqli_stmt_execute($stmt);

// 5. 获取查询结果
$result = mysqli_stmt_get_result($stmt);

// 6. 构建HTML下拉菜单
$selectHtml = '<select class="smallInput" name="serverfile" tabindex="6">';

if ($result) {
    while ($rs = mysqli_fetch_array($result)) {
        // 再次强调使用 htmlspecialchars() 防止XSS攻击
        $selectHtml .= '<option value="' . htmlspecialchars($rs['FileID']) . '">' . htmlspecialchars($rs['FileTitle']) . '</option>';
    }
} else {
    // 处理查询结果为空或错误的情况
    error_log("获取文件列表失败: " . mysqli_error($conn));
}

$selectHtml .= '</select>';
echo $selectHtml;

// 7. 关闭语句和数据库连接
mysqli_stmt_close($stmt);
// mysqli_close($conn); // 在所有操作完成后关闭连接
?>