安全地更新MySQL用户数据：PHP与预处理语句实践指南

<!-- editProfile.php -->
<form action="change.php" method="POST">
  <table>
    <tr>
      <td>Username:</td>
      <td>
        <label for="changeUsername"></label>
        <input type="text" name="changeUsername" placeholder="<?php echo htmlspecialchars($_SESSION['name']); ?>" id="changeUsername">
      </td>
    </tr>
    <tr>
      <td>Nom:</td>
      <td>
        <label for="changeNom"></label>
        <input type="text" name="changeNom" placeholder="<?php echo htmlspecialchars($nom); ?>" id="changeNom">
      </td>
    </tr>
  </table>
  <input type="submit" value="Modifier">
</form>

<?php
session_start(); // 确保会话已启动

// 假设 $con 是您的MySQLi数据库连接实例
// 例如：$con = new mysqli("localhost", "user", "password", "database");
// 检查连接是否成功，这里省略了详细的连接代码

$newUsername = isset($_POST['changeUsername']) ? trim($_POST['changeUsername']) : '';
$newNom = isset($_POST['changeNom']) ? trim($_POST['changeNom']) : '';

$currentId = $_SESSION['id']; // 当前用户的ID
$currentName = $_SESSION['name']; // 当前用户的用户名

// --- 用户名更新逻辑 ---
if (empty($newUsername)) {
    echo "用户名不能为空。<br>";
} else {
    $usernameTaken = false;
    // 1. 检查新用户名是否已被占用
    if ($stmt = $con->prepare('SELECT username FROM users WHERE username = ? AND id != ?')) {
        $stmt->bind_param('si', $newUsername, $currentId); // 's' for string, 'i' for integer
        $stmt->execute();
        $stmt->store_result(); // 存储结果，以便获取行数

        if ($stmt->num_rows > 0) {
            // 如果查询到结果，说明该用户名已被占用
            $usernameTaken = true;
            echo "该用户名已被使用，请选择其他用户名。<br>";
        }
        $stmt->close(); // 关闭预处理语句
    } else {
        echo "查询用户名时发生错误: " . $con->error . "<br>";
    }

    // 2. 如果用户名未被占用，则进行更新
    if (!$usernameTaken) {
        if ($stmt = $con->prepare("UPDATE users SET username = ? WHERE id = ?")) {
            $stmt->bind_param('si', $newUsername, $currentId);
            if ($stmt->execute()) {
                echo "用户名已成功修改。<br>";
                // 更新会话中的用户名，并重新生成会话ID以增强安全性
                session_regenerate_id(true); // true参数会删除旧会话文件
                $_SESSION['name'] = $newUsername;
            } else {
                echo "更新用户名失败: " . $stmt->error . "<br>";
            }
            $stmt->close();
        } else {
            echo "准备更新用户名语句时发生错误: " . $con->error . "<br>";
        }
    }
}

// --- 'Nom'（姓名）字段更新逻辑 ---
// 这个字段不需要唯一性检查，逻辑相对简单
if (empty($newNom)) {
    echo "姓名不能为空。<br>";
} else {
    if ($stmt = $con->prepare("UPDATE users SET nom = ? WHERE id = ?")) {
        $stmt->bind_param('si', $newNom, $currentId);
        if ($stmt->execute()) {
            echo "姓名已成功修改。<br>";
        } else {
            echo "更新姓名失败: " . $stmt->error . "<br>";
        }
        $stmt->close();
    } else {
        echo "准备更新姓名语句时发生错误: " . $con->error . "<br>";
    }
}

// 可以在这里添加重定向或其他页面内容
// header("Location: profile.php");
// exit();

$con->close(); // 关闭数据库连接
?>