PHP/MySQL多对多关系处理与安全动态表单数据插入指南

<?php
// 假设 connection_db() 函数返回一个 mysqli 连接对象
// include_once '../includes/functions.php'; // 您的数据库连接和辅助函数文件

/**
 * 从数据库获取所有课程。
 *
 * @param mysqli $link 数据库连接对象。
 * @return array 包含所有课程的关联数组列表。
 */
function getAllCourses(mysqli $link): array {
    $sql = "SELECT cr_id, cr_name, cr_desc FROM tbl_courses ORDER BY cr_name ASC";
    $result = mysqli_query($link, $sql);
    $courses = [];
    if ($result) {
        while ($row = mysqli_fetch_assoc($result)) {
            $courses[] = $row;
        }
        mysqli_free_result($result); // 释放结果集
    } else {
        // 错误处理，例如记录日志
        error_log("Error fetching courses: " . mysqli_error($link));
    }
    return $courses;
}

// 示例用法
// $link = connection_db(); // 获取数据库连接
// $availableCourses = getAllCourses($link);
?>

<div class="form-group">
    <label class="col-form-label">选择课程</label>
    <div class="form-check">
        <?php
        // 假设 $link 已经通过 connection_db() 获取并可用
        // $link = connection_db();
        $availableCourses = getAllCourses($link); // 调用函数获取课程

        if (!empty($availableCourses)):
            foreach ($availableCourses as $course): ?>
                <div class="form-check form-check-inline">
                    <input class="form-check-input" name="course[]" type="checkbox" value="<?= htmlspecialchars($course['cr_id']) ?>">
                    <label class="form-check-label"><?= htmlspecialchars($course['cr_name']) ?></label>
                </div>
            <?php
            endforeach;
        else: ?>
            <p>暂无可用课程。</p>
        <?php endif; ?>
    </div>
</div>

<?php
// 确保在文件顶部包含数据库连接函数和任何其他必要的辅助函数
// include_once '../includes/functions.php';

if (isset($_POST['submit'])) {
    // 假设 connection_db() 函数返回一个 mysqli 连接对象
    $link = connection_db(); 

    // 1. 获取并验证学生信息
    $studentName  = trim($_POST['sname'] ?? '');
    $studentEmail = trim($_POST['semail'] ?? '');
    $studentCode  = trim($_POST['scode'] ?? '');
    $selectedCourses = $_POST['course'] ?? []; // 选中的课程ID数组

    // 简单的服务器端验证
    if (empty($studentName) || empty($studentEmail) || empty($studentCode)) {
        echo "<script>alert('错误：学生姓名、邮箱和学号不能为空。');</script>";
        // 可以添加更详细的错误处理和重定向
        exit();
    }
    // 邮箱格式验证等...

    // 2. 插入学生记录到 tbl_students
    // 使用预处理语句防止SQL注入
    $queryStudent = "INSERT INTO tbl_students (st_name, st_email, st_code) VALUES (?, ?, ?)";
    $stmtStudent = mysqli_prepare($link, $queryStudent);

    if ($stmtStudent === false) {
        error_log("Failed to prepare student insert statement: " . mysqli_error($link));
        echo "<script>alert('系统错误：无法准备学生数据插入。');</script>";
        exit();
    }

    // 绑定参数: "sss" 表示三个参数都是字符串 (string)
    mysqli_stmt_bind_param($stmtStudent, "sss", $studentName, $studentEmail, $studentCode);

    $studentInsertSuccess = mysqli_stmt_execute($stmtStudent);

    if ($studentInsertSuccess) {
        // 3. 获取新插入学生的ID
        $lastStudentID = mysqli_insert_id($link); // 获取上一个 INSERT 操作生成的 ID

        // 4. 插入选定的课程到 tbl_students_courses
        if (!empty($selectedCourses) && $lastStudentID > 0) {
            $queryCourseEnroll = "INSERT INTO tbl_students_courses (st_id, cr_id, date_insc) VALUES (?, ?, ?)";
            $stmtCourseEnroll = mysqli_prepare($link, $queryCourseEnroll);

            if ($stmtCourseEnroll === false) {
                error_log("Failed to prepare course enrollment statement: " . mysqli_error($link));
                echo "<script>alert('系统错误：无法准备课程注册数据插入。');</script>";
                // 考虑回滚学生插入操作
                exit();
            }

            $currentDate = date('Y-m-d H:i:s');
            foreach ($selectedCourses as $courseId) {
                // 确保 courseId 是整数，防止潜在问题
                $courseId = (int)$courseId; 
                if ($courseId > 0) {
                    // 绑定参数: "iis" 表示第一个参数是整数 (int)，第二个是整数 (int)，第三个是字符串 (string)
                    mysqli_stmt_bind_param($stmtCourseEnroll, "iis", $lastStudentID, $courseId, $currentDate);
                    $enrollSuccess = mysqli_stmt_execute($stmtCourseEnroll);

                    if (!$enrollSuccess) {
                        error_log("Error enrolling student ID {$lastStudentID} in course ID {$courseId}: " . mysqli_stmt_error($stmtCourseEnroll));
                        // 记录错误，但可能不中断整个过程，取决于业务需求
                    }
                }
            }
            mysqli_stmt_close($stmtCourseEnroll);
        }

        echo "<script>alert('数据保存成功！');</script>";
        print "<script>top.location = 'index.php?id=2';</script>"; // 重定向
    } else {
        error_log("Error inserting student: " . mysqli_stmt_error($stmtStudent));
        echo "<script>alert('错误：无法保存学生数据。');</script>";
    }

    mysqli_stmt_close($stmtStudent);
    mysqli_close($link); // 关闭数据库连接
}
?>