PHP与MySQL安全更新用户资料：字段校验与重复性检查

<!-- editProfile.php -->
<form action="change.php" method="POST">
  <table>
    <tr>
      <td>用户名:</td>
      <td>
        <label for="changeUsername"></label>
        <input type="text" name="changeUsername" placeholder="<?php echo htmlspecialchars($_SESSION['name']); ?>" id="changeUsername">
      </td>
    </tr>
    <tr>
      <td>姓名:</td>
      <td>
        <label for="changeNom"></label>
        <input type="text" name="changeNom" placeholder="<?php echo htmlspecialchars($nom); ?>" id="changeNom">
      </td>
    </tr>
  </table>
  <input type="submit" value="修改">
</form>

<?php
session_start(); // 确保会话已启动

// 假设 $con 是你的数据库连接对象 (mysqli)
// 例如：$con = new mysqli("localhost", "username", "password", "database");
// 检查连接
if ($con->connect_error) {
    die("数据库连接失败: " . $con->connect_error);
}

// 获取当前用户ID
$currentId = $_SESSION['id'];

// --- 处理用户名更新 ---
$newUsername = $_POST['changeUsername'] ?? ''; // 使用null合并运算符，避免未定义索引警告

$usernameMessage = ''; // 用于存储用户名更新结果消息
$usernameUpdated = false;

if (empty($newUsername)) {
    $usernameMessage = "用户名不能为空。";
} else {
    // 1. 检查新用户名是否已被其他用户占用
    // 注意：这里需要排除当前用户自己的ID，允许用户提交其现有用户名而不报错
    if ($stmt = $con->prepare('SELECT ID FROM users WHERE USERNAME = ? AND ID != ?')) {
        $stmt->bind_param('si', $newUsername, $currentId); // 's' for string, 'i' for integer
        $stmt->execute();
        $stmt->store_result(); // 存储结果，以便获取行数

        if ($stmt->num_rows > 0) {
            $usernameMessage = "用户名 '{$newUsername}' 已被其他用户占用。";
        }
        $stmt->close(); // 关闭预处理语句
    } else {
        $usernameMessage = "数据库查询失败，请稍后再试。";
    }

    // 2. 如果用户名未被占用，则执行更新操作
    if (empty($usernameMessage)) { // 如果前面没有错误消息，说明用户名可用
        if ($stmt = $con->prepare("UPDATE users SET USERNAME = ? WHERE ID = ? ")) {
            $stmt->bind_param('si', $newUsername, $currentId); // 's' for string, 'i' for integer
            if ($stmt->execute()) {
                $usernameMessage = "用户名更新成功！";
                $usernameUpdated = true;
                session_regenerate_id(); // 安全实践：更新敏感信息后重新生成会话ID
                $_SESSION['name'] = $newUsername; // 更新会话中的用户名
            } else {
                $usernameMessage = "用户名更新失败，请稍后再试。";
            }
            $stmt->close(); // 关闭预处理语句
        } else {
            $usernameMessage = "数据库更新准备失败，请稍后再试。";
        }
    }
}
echo "用户名更新结果：" . $usernameMessage . "<br>";


// --- 处理姓名（Nom）更新 ---
$newNom = $_POST['changeNom'] ?? ''; // 使用null合并运算符

$nomMessage = ''; // 用于存储姓名更新结果消息
$nomUpdated = false;

if (empty($newNom)) {
    $nomMessage = "姓名不能为空。";
} else {
    // 直接执行更新操作，姓名不需要唯一性检查
    if ($stmt = $con->prepare("UPDATE users SET NOM = ? WHERE ID = ? ")) {
        $stmt->bind_param('si', $newNom, $currentId); // 's' for string, 'i' for integer
        if ($stmt->execute()) {
            $nomMessage = "姓名更新成功！";
            $nomUpdated = true;
            // 如果姓名也存储在session中，也需要更新
            // $_SESSION['nom'] = $newNom;
        } else {
            $nomMessage = "姓名更新失败，请稍后再试。";
        }
        $stmt->close(); // 关闭预处理语句
    } else {
        $nomMessage = "数据库更新准备失败，请稍后再试。";
    }
}
echo "姓名更新结果：" . $nomMessage . "<br>";

// 可以在这里重定向用户或显示完整的更新状态页面
// header('Location: profile.php?status=success');
// exit();

$con->close(); // 关闭数据库连接
?>