PHP中“Undefined array key”警告的排查与安全实践

<?php
    // 示例一：aeadmin.php
    // 假设我们期望URL中包含 ?id=xxx
    $result = All("select * from admin where id='1".$_GET["id"]."'");
    foreach($result as $row) {
        // ...
    }
?>

<?php
    // 示例二：aeditu.php
    require_once('sql.php');
?>
<h1>ChangeMember</h1><br>
<form id="form" method="post" action="api.php?do=editu&id=<?=$_GET["id"]?>" enctype="multipart/form-data">
<?php
    // 再次尝试访问 $_GET["id"]
    $result = All("select *from user where u_id='".$_GET["id"]."'");
    foreach($result as $row) {
        // ...
    }
?>

<?php
    // 针对 $_GET["id"] 的安全访问
    if (isset($_GET["id"])) {
        $userId = $_GET["id"];
        // 在这里可以使用 $userId 进行后续操作
        // 例如：$result = All("select * from admin where id='1".$userId."'");
    } else {
        // 如果 'id' 参数不存在，可以采取以下措施：
        // 1. 设置一个默认值
        // $userId = 0; // 或者其他默认值
        // 2. 终止脚本并显示错误信息
        die("错误：缺少必要的ID参数。");
        // 3. 重定向到其他页面
        // header("Location: error_page.php");
        // exit();
    }

    // 示例：在表单action中使用
    $actionId = isset($_GET["id"]) ? $_GET["id"] : ''; // 如果不存在则设置为空字符串或默认值
?>
<form id="form" method="post" action="api.php?do=editu&id=<?=$actionId?>" enctype="multipart/form-data">

<?php
    if (!empty($_GET["id"])) {
        $userId = $_GET["id"];
        // 在这里使用 $userId
    } else {
        die("错误：ID参数无效或为空。");
    }
?>

select * from admin where id='11' OR '1'='1'

<?php
// 假设您已经建立了PDO数据库连接 $pdo

if (isset($_GET["id"])) {
    $userId = $_GET["id"];

    // 1. 准备SQL语句，使用占位符（? 或 :name）
    $stmt = $pdo->prepare("SELECT * FROM admin WHERE id = :id");

    // 2. 绑定参数
    $stmt->bindParam(':id', $userId, PDO::PARAM_INT); // 明确指定参数类型

    // 3. 执行语句
    $stmt->execute();

    // 4. 获取结果
    $result = $stmt->fetchAll(PDO::FETCH_ASSOC);

    foreach($result as $row) {
        // 处理数据
        echo $row['username'] . "<br>";
    }
} else {
    die("错误：缺少必要的ID参数。");
}
?>

<?php
// 假设您已经建立了MySQLi数据库连接 $mysqli

if (isset($_GET["id"])) {
    $userId = $_GET["id"];

    // 1. 准备SQL语句，使用占位符 (?)
    $stmt = $mysqli->prepare("SELECT * FROM user WHERE u_id = ?");

    // 2. 绑定参数
    // "i" 表示参数类型为整数 (integer)
    // "s" 表示字符串 (string)
    // "d" 表示双精度浮点数 (double)
    // "b" 表示BLOB (binary)
    $stmt->bind_param("i", $userId);

    // 3. 执行语句
    $stmt->execute();

    // 4. 获取结果
    $result = $stmt->get_result(); // 获取结果集

    while ($row = $result->fetch_assoc()) {
        // 处理数据
        echo $row['u_name'] . "<br>";
    }

    $stmt->close();
} else {
    die("错误：缺少必要的ID参数。");
}
?>