PHP结合MySQL动态生成HTML下拉菜单：从数组数据到安全查询的最佳实践

<?php
// 数据库连接配置
$dbhost = 'localhost'; // 数据库主机
$dbuser = 'root';      // 数据库用户名
$dbpass = 'password';  // 数据库密码
$dbname = 'your_database'; // 数据库名

// 建立数据库连接
$conn = mysqli_connect($dbhost, $dbuser, $dbpass) or die("数据库连接失败: " . mysqli_connect_error());
mysqli_select_db($conn, $dbname);

// 假设我们从 ADMIN 表中获取与当前会话用户相关的Files ID
// 注意：这里直接使用了 $_SESSION["adminusername"]，在实际应用中应使用预处理语句以防SQL注入
$admin_id = mysqli_real_escape_string($conn, $_SESSION["adminusername"]); // 简单转义，但预处理更佳
$sql_admin = "SELECT Files FROM ADMIN WHERE id='" . $admin_id . "'";
$result_admin = mysqli_query($conn, $sql_admin);

if (!$result_admin) {
    die("查询失败: " . mysqli_error($conn));
}

$isadmin = mysqli_fetch_array($result_admin);
$arraydata = $isadmin["Files"]; // 例如: "26,27,28,29"

// 将逗号分隔的字符串转换为PHP数组
$file_ids_array = explode(',', $arraydata);

// 在此阶段，如果不再需要此连接，可以关闭
// mysqli_close($conn); // 如果后续有其他查询，则不关闭

// 示例：打印数组内容
// print_r($file_ids_array);
?>

// 错误示例：每个选项生成一个独立的下拉菜单
// 假设 $file_ids_array 已经包含 ['26', '27', '28', '29']
// 再次建立数据库连接，如果之前关闭了的话
// $conn = mysqli_connect($dbhost, $dbuser, $dbpass) or die("数据库连接失败: " . mysqli_connect_error());
// mysqli_select_db($conn, $dbname);

foreach ($file_ids_array as $singleID) {
    $sql_server = "SELECT FileID, FileTitle FROM Servers WHERE FileType='CFG' AND FileID='" . mysqli_real_escape_string($conn, $singleID) . "'";
    $result_server = mysqli_query($conn, $sql_server);

    if (mysqli_num_rows($result_server) > 0) {
        $select = '<select class="smallInput" name="serverfile" tabindex="6">';
        while ($rs = mysqli_fetch_array($result_server)) {
            $select .= '<option value="' . htmlspecialchars($rs['FileID']) . '">' . htmlspecialchars($rs['FileTitle']) . '</option>';
        }
        $select .= '</select>';
        echo $select; // 这里会多次echo，每次都是一个完整的<select>
    }
}
// mysqli_close($conn); // 如果此处关闭，则每次循环都需要重新连接

<?php
// 确保数据库连接 $conn 处于打开状态
// 如果之前关闭了，需要重新连接
if (!isset($conn) || !$conn) {
    $conn = mysqli_connect($dbhost, $dbuser, $dbpass) or die("数据库连接失败: " . mysqli_connect_error());
    mysqli_select_db($conn, $dbname);
}

$select_html = '<select class="smallInput" name="serverfile" tabindex="6">';

foreach ($file_ids_array as $singleID) {
    // 对ID进行转义，防止SQL注入，尽管这里是内部数据，但养成好习惯很重要
    $escaped_id = mysqli_real_escape_string($conn, $singleID);
    $sql_server = "SELECT FileID, FileTitle FROM Servers WHERE FileType='CFG' AND FileID='" . $escaped_id . "'";
    $result_server = mysqli_query($conn, $sql_server);

    if (!$result_server) {
        // 记录错误或进行其他处理
        error_log("查询Servers表失败: " . mysqli_error($conn));
        continue; // 跳过当前循环迭代
    }

    while ($rs = mysqli_fetch_array($result_server)) {
        $select_html .= '<option value="' . htmlspecialchars($rs['FileID']) . '">' . htmlspecialchars($rs['FileTitle']) . '</option>';
    }
}

$select_html .= '</select>';
echo $select_html;

// 关闭数据库连接
mysqli_close($conn);
?>

SELECT s.FileID, s.FileTitle
FROM Servers AS s
JOIN ADMIN AS a ON FIND_IN_SET(s.FileID, a.Files)
WHERE s.FileType = 'CFG'
AND a.id = ?; -- ? 是一个占位符，用于预处理语句

<?php
// 确保数据库连接 $conn 处于打开状态
if (!isset($conn) || !$conn) {
    $conn = mysqli_connect($dbhost, $dbuser, $dbpass) or die("数据库连接失败: " . mysqli_connect_error());
    mysqli_select_db($conn, $dbname);
}

// 准备SQL查询语句，使用问号作为占位符
$stmt = mysqli_prepare($conn, "
    SELECT s.FileID, s.FileTitle
    FROM Servers AS s
    JOIN ADMIN AS a ON FIND_IN_SET(s.FileID, a.Files)
    WHERE s.FileType = 'CFG'
    AND a.id = ?");

// 检查语句是否准备成功
if (!$stmt) {
    die("预处理语句失败: " . mysqli_error($conn));
}

// 绑定参数：'s' 表示参数类型为字符串，$_SESSION["adminusername"] 是要绑定的值
// 确保 $_SESSION["adminusername"] 存在且有效
$admin_username = $_SESSION["adminusername"] ?? ''; // 使用null合并运算符提供默认值
mysqli_stmt_bind_param($stmt, "s", $admin_username);

// 执行预处理语句
mysqli_stmt_execute($stmt);

// 获取查询结果
$result = mysqli_stmt_get_result($stmt);

// 构建HTML下拉菜单
$select_html = '<select class="smallInput" name="serverfile" tabindex="6">';

if ($result) {
    while ($rs = mysqli_fetch_array($result)) {
        $select_html .= '<option value="' . htmlspecialchars($rs['FileID']) . '">' . htmlspecialchars($rs['FileTitle']) . '</option>';
    }
} else {
    // 处理结果获取失败的情况
    error_log("获取查询结果失败: " . mysqli_stmt_error($stmt));
}

$select_html .= '</select>';
echo $select_html;

// 关闭预处理语句和数据库连接
mysqli_stmt_close($stmt);
mysqli_close($conn);
?>