掌握富文本编辑器内容入库：JavaScript与PHP的协同实践

// 确保TinyMCE编辑器已正确初始化
tinymce.init({
    selector: 'textarea.tinymce', // 确保选择器与HTML中的textarea匹配
    plugins: 'advlist autolink lists link image charmap print preview anchor searchreplace visualblocks code fullscreen insertdatetime media table paste code help wordcount',
    toolbar: 'undo redo | formatselect | bold italic backcolor | alignleft aligncenter alignright alignjustify | bullist numlist outdent indent | removeformat | help'
    // ... 其他TinyMCE配置
});

// 绑定表单提交事件
$('#dataBtn').click(function(e){
    e.preventDefault(); // 阻止表单的默认提交行为，以便通过AJAX手动提交

    // 1. 获取TinyMCE编辑器的完整HTML内容
    // tinymce.activeEditor 指向当前激活的编辑器实例
    var myContent = tinymce.activeEditor.getContent();

    // 2. 序列化表单的其他数据
    const data = $('#dataForm').serializeArray();

    // 3. 将TinyMCE的内容添加到序列化后的数据数组中
    // 确保 'name' 属性与后端PHP接收的变量名（如 $_POST['details']）一致
    data.push({name: 'details', value: myContent});

    // 4. 使用AJAX发送数据到后端
    $.post(
        $('#dataForm').attr('action'), // 获取表单的 action 属性作为请求URL
        data, // 发送包含富文本内容的完整数据
        function(result) {
            // 处理后端返回的结果
            $('#dataResult').html(result);
        }
    );
});

<?php
// 假设 $db 是你的数据库操作类或连接对象
// 引入数据库连接和类（根据你的项目结构）
// require_once 'path/to/database_class.php';
// $db = new Database(); // 示例

$details = ''; // 初始化变量

// 检查 $_POST['details'] 是否存在并获取内容
if (isset($_POST['details'])) {
    $details = $_POST['details'];
}

$flag  = false;
$error = [];
$valid = [];

if (!empty($details)) {
    $flag = true;
} else {
    $error[] = "请提供详细内容！";
    $flag    = false;
}

if ($flag == true) {
    // **重要：在将用户输入插入数据库之前，必须进行安全处理！**

    // 1. SQL注入防护：使用预处理语句（Prepared Statements）
    // 这是防止SQL注入最推荐的方法。
    // 示例使用PDO，如果你使用MySQLi，原理类似。
    try {
        // 假设 $pdo 是你的PDO数据库连接对象
        // $stmt = $pdo->prepare("INSERT INTO tbl_post(details) VALUES (?)");
        // $stmt->execute([$details]);

        // 如果你正在使用一个自定义的数据库类，确保其内部使用了预处理语句或适当的转义函数
        // 例如，如果 $db->insert() 内部没有处理，你需要手动处理
        // $details_escaped = $db->escape($details); // 假设你的数据库类有escape方法
        // $query  = "INSERT INTO tbl_post(details)VALUES('$details_escaped')";

        // 假设 $db->insert() 方法内部已经处理了预处理语句或安全转义
        $query  = "INSERT INTO tbl_post(details)VALUES(?)"; // 使用占位符
        $result = $db->insert($query, [$details]); // 假设 insert 方法支持预处理参数

        if ($result) {
            $valid[] = "数据添加成功！";
        } else {
            $error[] = "操作失败，请稍后重试！";
        }
    } catch (PDOException $e) {
        $error[] = "数据库操作错误：" . $e->getMessage();
    }

} else {
    $error[] = "发生未知错误！";
}

// 输出结果（通常是JSON格式，以便前端AJAX处理）
if (!empty($valid)) {
    echo json_encode(['status' => 'success', 'message' => implode(', ', $valid)]);
} else {
    echo json_encode(['status' => 'error', 'message' => implode(', ', $error)]);
}
?>