PHP中处理动态表单数据时的“未定义偏移”错误及安全实践

$_POST = [
    'item' => [
        0 => 'value0_part1,value0_part2,value0_part3,value0_part4,value0_part5',
        1 => 'value1_part1,value1_part2,value1_part3,value1_part4,value1_part5',
        // ... 更多 item
    ],
    'rft_batch' => 'batch123',
    'date' => '2023-10-26',
    'submit' => 'Submit Form'
];

$number = count($_POST); // 假设 $_POST 有4个顶层元素：'item', 'rft_batch', 'date', 'submit'
for ($i = 0; $i < $number; $i++) {
    // 尝试访问 $_POST["item"][$i]
    if (trim($_POST["item"][$i] != '')) {
        // ...
    }
}

// 错误的计数方式
// $number = count($_POST);

// 正确的计数方式
$number = count($_POST['item']);

// 示例循环
for ($i = 0; $i < $number; $i++) {
    if (isset($_POST["item"][$i]) && trim($_POST["item"][$i]) != '') {
        // 处理 $_POST["item"][$i]
        // ...
    }
}

$number = (isset($_POST['item']) && is_array($_POST['item'])) ? count($_POST['item']) : 0;

// 示例循环
for ($i = 0; $i < $number; $i++) {
    // 在这里，由于已经检查过 $number，所以 $_POST["item"][$i] 理论上是存在的
    // 但为了极致健壮性，内部再次检查也是可以的，不过通常情况下外部检查已足够
    if (trim($_POST["item"][$i]) != '') {
        $item_string = $_POST["item"][$i];
        // ... 处理 $item_string
    }
}

if (isset($_POST['submit'])) {
    $rft_batch = $_POST['rft_batch'];
    $date = $_POST['date'];

    // 修正：只计算 'item' 数组的元素数量，并增加健壮性检查
    $number = (isset($_POST['item']) && is_array($_POST['item'])) ? count($_POST['item']) : 0;

    echo "<h2>Batch Number: " . htmlspecialchars($rft_batch) . " Batching Date: " . htmlspecialchars($date) . "</h2><br />";

    if ($number > 0) {
        for ($i = 0; $i < $number; $i++) {
            // 确保 $_POST["item"][$i] 存在且不为空
            if (isset($_POST["item"][$i]) && trim($_POST["item"][$i]) != '') {
                $item_string = $_POST["item"][$i]; // 直接使用 $_POST['item'][$i]
                $data = explode(",", $item_string);

                // 在这里，原代码直接将 $data 数组元素拼接进 SQL，存在安全隐患
                // 后续章节将演示如何使用预处理语句
                // ...
                echo htmlspecialchars($item_string) . "<br />";
            }
        }
    } else {
        echo "没有需要处理的项目。<br />";
    }
    // 注意：原代码在循环外执行了 mysqli_query($conn, $query)，这会导致只有最后一次循环的 $query 被执行。
    // 正确的做法是每次循环内执行插入，或者批量插入。
}

if (isset($_POST['submit'])) {
    $rft_batch = $_POST['rft_batch'];
    $date = $_POST['date'];

    $number = (isset($_POST['item']) && is_array($_POST['item'])) ? count($_POST['item']) : 0;

    echo "<h2>Batch Number: " . htmlspecialchars($rft_batch) . " Batching Date: " . htmlspecialchars($date) . "</h2><br />";

    if ($number > 0) {
        // 1. 准备 SQL 语句：使用问号 (?) 作为占位符
        // 假设 ing_date, ing_id, allergen, lot, batch_date 都是字符串类型 (s)
        // 假设 batch_id, batch_num 都是整数类型 (i)
        $query = "INSERT INTO batching (ing_date, ing_id, allergen, lot, batch_date, batch_id, batch_num) VALUES (?, ?, ?, ?, ?, ?, ?)";
        $stmt = $conn->prepare($query);

        if ($stmt === false) {
            die('SQL 语句准备失败: ' . $conn->error);
        }

        // 2. 绑定参数：'sssssii' 表示参数类型字符串 (s) 和整数 (i)
        // 顺序必须与 VALUES 中的占位符一致
        // $ing_date_val, $ing_id_val, $allergen_val, $lot_val 是从 $data 中提取的字符串
        // $batch_date_val 是 $date (字符串)
        // $batch_id_val 是 $rft_batch (整数)
        // $batch_num_val 是 1 (整数)
        $stmt->bind_param("sssssii", $ing_date_val, $ing_id_val, $allergen_val, $lot_val, $batch_date_val, $batch_id_val, $batch_num_val);

        for ($i = 0; $i < $number; $i++) {
            if (isset($_POST["item"][$i]) && trim($_POST["item"][$i]) != '') {
                $item_string = $_POST["item"][$i];
                $data = explode(",", $item_string);

                // 确保 $data 数组有足够的元素
                if (count($data) >= 5) { // 需要 $data[0], $data[1], $data[3], $data[4]
                    // 3. 为每个参数赋值
                    $ing_date_val = $data[0];
                    $ing_id_val = $data[1];
                    $allergen_val = $data[3]; // 注意这里跳过了 $data[2]
                    $lot_val = $data[4];
                    $batch_date_val = $date;
                    $batch_id_val = (int)$rft_batch; // 确保是整数类型
                    $batch_num_val = 1;

                    // 4. 执行语句
                    if ($stmt->execute()) {
                        echo "成功插入项目 " . htmlspecialchars($item_string) . "<br />";
                    } else {
                        echo "插入项目 " . htmlspecialchars($item_string) . " 失败: " . $stmt->error . "<br />";
                    }
                } else {
                    echo "跳过项目 " . htmlspecialchars($item_string) . "：数据不完整。<br />";
                }
            }
        }
        $stmt->close(); // 关闭预处理语句
        echo "所有批处理操作已尝试。<br />";
    } else {
        echo "没有需要处理的项目。<br />";
    }
} else {
    echo "请通过表单提交数据。<br />";
}

// 确保在脚本结束时关闭数据库连接
// $conn->close();