如何安全高效地通过AJAX更新MySQL数据

<?php
    $root = realpath(str_replace('\', '/', $_SERVER['DOCUMENT_ROOT']) );
    include ($root . '/insights/ss/onix.php'); // 确保数据库连接已在此处初始化

    $result = mysqli_query($mysqli,"select * from notifications where seen = 0");
    if ($result){
        if($result->num_rows) {
            while($row = mysqli_fetch_assoc($result)){
?>
<div class='alert alert-success alert-dismissible' role='alert' style='margin-left:-12px;'>
    <button type="button" class="close" data-id="<?=$row['id'];?>" data-dismiss="alert" aria-label="Close" style="float:left!important; border:0; background:none;">
        <span aria-hidden="true">&times;</span>
    </button>

    <strong>
        <span class="text-success" style="margin-top:-50px;">
            <i class='fa fa-check'></i>
               文件已成功移动
        </span>
    </strong>
    <br>
    请按X按钮确认已阅读此消息
</div>

<?php
           }
        }
    }
?>

<script>
    /**
     * 处理通知关闭按钮点击事件
     * @param {Event} e - 事件对象
     */
    function updateId(e){
        // 阻止事件冒泡，避免与Bootstrap的data-dismiss冲突
        e.stopPropagation();

        // 根据点击目标获取data-id属性
        // 如果点击的是span而非button本身，则通过parentNode获取
        let id = e.target.dataset.id || e.target.parentNode.dataset.id;

        if (!id) {
            console.error("无法获取通知ID。");
            return;
        }

        // 使用Fetch API发送GET请求
        fetch( 'dismisssuccess.php?id=' + id )
            .then(response => {
                if (!response.ok) {
                    throw new Error('网络响应不正常 ' + response.statusText);
                }
                return response.text();
            })
            .then(text => {
                console.log("服务器响应:", text);
                // 可以在此处根据服务器响应进行UI更新，例如移除元素
                // if (text === "Success") {
                //     e.currentTarget.closest('.alert').remove();
                // }
            })
            .catch(error => {
                console.error("AJAX请求失败:", error);
            });
    }

    // 使用事件委托，为所有具有data-id属性的关闭按钮添加点击事件监听器
    document.querySelectorAll('div[role="alert"] button[data-id]').forEach(button => {
        button.addEventListener('click', updateId);
    });
</script>

<?php
if( !empty( $_GET['id'] ) ){
    $id = $_GET['id'];
    // 获取客户端IP地址，注意：getenv('REMOTE_ADDR')可能不准确，生产环境应考虑更可靠方式
    $ip = getenv('REMOTE_ADDR');

    $root = realpath(str_replace('\', '/', $_SERVER['DOCUMENT_ROOT']) );
    include ($root . '/insights/ss/onix.php'); // 确保 $mysqli 数据库连接已初始化

    // 检查 $mysqli 连接是否存在且有效
    if (!isset($mysqli) || $mysqli->connect_error) {
        exit("数据库连接失败: " . ($mysqli->connect_error ?? '未知错误'));
    }

    // 1. 定义SQL查询模板，使用占位符 '?'
    $sql = 'UPDATE `notifications` SET `seen` = 1, `seenby` = ? WHERE `id` = ?';

    // 2. 准备预处理语句
    if ($stmt = $mysqli->prepare($sql)) {
        // 3. 绑定参数：'ss' 表示两个参数都是字符串类型
        // 第一个 's' 对应 $ip, 第二个 's' 对应 $id
        $stmt->bind_param('ss', $ip, $id);

        // 4. 执行语句
        if ($stmt->execute()) {
            // 5. 检查受影响的行数
            $rows_affected = $stmt->affected_rows;
            if ($rows_affected > 0) {
                exit('Success'); // 更新成功
            } else {
                exit('No rows updated or ID not found.'); // 未找到匹配ID或数据已是最新
            }
        } else {
            // 执行失败
            exit('Error executing statement: ' . $stmt->error);
        }

        // 6. 关闭语句
        $stmt->close();
    } else {
        // 准备语句失败
        exit('Error preparing statement: ' . $mysqli->error);
    }
} else {
    exit('Invalid ID provided.'); // ID参数缺失
}
?>