本文详解如何根据数据库查询结果动态包含对应地区的 php 页面，重点解决赋值与比较混淆、sql 注入风险、大小写不一致及代码结构混乱等常见问题，并提供安全、可维护的完整示例。
在 PHP 开发中，根据业务数据（如用户所在州）动态加载不同地区专属页面（如 east.php、kc.php、ca.php）是一种常见需求。但原始代码存在多个关键缺陷，不仅导致逻辑失效（例如所有分支都进入第一个 if），还带来严重安全隐患。下面我们将从问题诊断到最佳实践，逐步构建健壮方案。
? 核心问题分析
- 赋值 vs 比较错误：if($state='tx') 是赋值语句（永远返回 'tx'，即真值），应改为严格比较 if ($state === 'TX')；
- 大小写不一致：数据库中存储的州码可能是大写（如 'TX'），而代码中却用小写 'tx' 或混合 'KS'/'CA'，需统一标准化；
- SQL 注入漏洞：直接拼接 $_GET['btn'] 到 SQL 中，攻击者可构造恶意输入破坏数据库；
- 逻辑冗余与结构混乱：多次开关 PHP 标签、未验证 $row 是否存在、未释放资源等。
✅ 正确实现（安全、清晰、可扩展）
<?php
// 1. 安全连接数据库（使用预处理语句）
include 'db_connect.php';
$mysqli = new mysqli($host, $user, $password, $database_in_use);
if ($mysqli->connect_error) {
die("数据库连接失败: " . $mysqli->connect_error);
}
// 2. 获取并校验输入
$btnfromform = $_GET['btn'] ?? '';
if (empty($btnfromform)) {
die("<span style='color:red; font-size:20px;'>错误：未提供电话号码</span>");
}
// 3. 预处理查询（防止 SQL 注入）
$stmt = $mysqli->prepare("SELECT state FROM legacy_escalation WHERE btn LIKE ?");
$searchPattern = "%{$btnfromform}%"; // 或使用精确匹配：? 并绑定 $btnfromform
$stmt->bind_param("s", $btnfromform);
$stmt->execute();
$result = $stmt->get_result();
// 4. 处理查询结果
if ($result->num_rows > 0) {
$row = $result->fetch_assoc();
$state = strtoupper(trim($row['state'])); // 统一转为大写并去空格
// 5. 严格匹配并包含对应文件（推荐使用映射数组提升可维护性）
$pageMap = [
'TX' => 'east.php',
'KS' => 'kc.php',
'CA' => 'ca.php',
// 可随时扩展：'NY' => 'ny.php', ...
];
if (isset($pageMap[$state])) {
include $pageMap[$state];
} else {
echo "<span style='color:orange; font-size:18px;'>提示：暂无该州（{$state}）专属页面</span>";
}
} else {
echo "<span style='color:red; font-size:20px;'>未找到匹配的客户信息</span>";
}
// 6. 清理资源
$stmt->close();
$mysqli->close();
?>⚠️ 关键注意事项
- 永远使用预处理语句：避免 SQL 注入是底线，切勿拼接用户输入；
- 状态码标准化：用 strtoupper() + trim() 统一处理州码，确保比较一致性；
- 避免多次 include：原始代码在 while 循环中可能重复包含，此处仅取首条记录（符合业务逻辑）；
- 增强健壮性：检查 $_GET['btn'] 是否为空、数据库连接是否成功、目标文件是否存在（可选加 file_exists() 判断）；
- 未来扩展建议：将 $pageMap 移至配置文件，或改用 switch 结构；若页面逻辑复杂，推荐改用 require_once + 路由分发。
通过以上重构，代码不仅修复了“只执行第一个条件”的 Bug，更具备安全性、可读性与长期可维护性——这才是生产环境应有的 PHP 实践标准。
