PHP与MySQL多对多关系处理：复选框数据提交、关联存储及安全实践

<?php
// 假设 $link 是已建立的数据库连接
function getAllCourses(mysqli $link): array
{
    $sql = "SELECT cr_id, cr_name, cr_desc FROM tbl_courses ORDER BY cr_name";
    $result = mysqli_query($link, $sql);
    $courses = [];
    if ($result) {
        while ($row = mysqli_fetch_assoc($result)) {
            $courses[] = $row;
        }
        mysqli_free_result($result); // 释放结果集
    } else {
        error_log("Error fetching courses: " . mysqli_error($link));
    }
    return $courses;
}

// 在你的表单页面顶部调用
// include_once '../includes/functions.php'; // 假设连接函数在这里
// $link = connection_db(); // 获取数据库连接
// $availableCourses = getAllCourses($link);
?>

<div class="form-group">
    <label class="col-form-label">选择课程</label>
    <div class="form-check">
        <?php if (!empty($availableCourses)): ?>
            <?php foreach ($availableCourses as $course): ?>
                <div class="form-check form-check-inline">
                    <input class="form-check-input" 
                           name="course[]" 
                           type="checkbox" 
                           value="<?= htmlspecialchars($course['cr_id']) ?>">
                    <label class="form-check-label"><?= htmlspecialchars($course['cr_name']) ?></label>
                </div>
            <?php endforeach; ?>
        <?php else: ?>
            <p>目前没有可供选择的课程。</p>
        <?php endif; ?>
    </div>
</div>

<?php
// 假设 connection_db() 返回一个 mysqli 数据库连接对象
// 并在文件顶部包含数据库连接和 getAllCourses 函数
// include_once '../includes/functions.php'; 
// $link = connection_db(); 

if (isset($_POST['submit'])) {
    $studentName = $_POST['sname'];
    $studentEmail = $_POST['semail'];
    $studentCode = $_POST['scode'];
    $selectedCourses = $_POST['course'] ?? []; // 使用 null 合并运算符，确保即使没有选择课程也是一个空数组

    // 1. 插入学生信息到 tbl_students
    // 使用预处理语句防止SQL注入
    $queryStudent = "INSERT INTO tbl_students (st_name, st_email, st_code) VALUES (?, ?, ?)";
    $stmtStudent = mysqli_prepare($link, $queryStudent);

    if ($stmtStudent) {
        // "sss" 表示参数类型：string, string, string
        // 如果 st_code 是 INT，则应该是 "ssi"
        mysqli_stmt_bind_param($stmtStudent, "sss", $studentName, $studentEmail, $studentCode);
        $execSuccess = mysqli_stmt_execute($stmtStudent);

        if ($execSuccess) {
            // 获取新插入学生的ID
            $lastStudentID = mysqli_insert_id($link); // 仅当 st_id 是 AUTO_INCREMENT 时有效
            // 如果 st_code 是主键，则直接使用 $studentCode 作为学生ID

            // 2. 插入课程关联到 tbl_students_courses
            if (!empty($selectedCourses) && $lastStudentID > 0) {
                $queryCourseAssoc = "INSERT INTO tbl_students_courses (st_id, cr_id, date_insc) VALUES (?, ?, ?)";
                $stmtCourseAssoc = mysqli_prepare($link, $queryCourseAssoc);

                if ($stmtCourseAssoc) {
                    $currentDate = date('Y-m-d H:i:s');
                    foreach ($selectedCourses as $courseId) {
                        // "sis" 表示参数类型：int, int, string (st_id, cr_id, date_insc)
                        // 注意：cr_id 是从复选框 value 获取的，通常是INT
                        // 确保 $courseId 是整数类型，否则 bind_param 会出错
                        $courseId = (int)$courseId; 
                        mysqli_stmt_bind_param($stmtCourseAssoc, "iis", $lastStudentID, $courseId, $currentDate);
                        mysqli_stmt_execute($stmtCourseAssoc);
                        // 可以在这里检查每条插入是否成功，但通常在事务中处理
                    }
                    mysqli_stmt_close($stmtCourseAssoc);
                    echo "<script>alert('数据保存成功');</script>";
                    echo "<script>top.location = 'index.php?id=2';</script>";
                } else {
                    error_log("Prepare statement for course association failed: " . mysqli_error($link));
                    echo "<script>alert('错误！无法准备课程关联语句。');</script>";
                }
            } else if (empty($selectedCourses)) {
                echo "<script>alert('学生信息保存成功，但未选择任何课程。');</script>";
                echo "<script>top.location = 'index.php?id=2';</script>";
            } else {
                echo "<script>alert('错误！无法获取新学生ID。');</script>";
            }
        } else {
            error_log("Execute student insertion failed: " . mysqli_stmt_error($stmtStudent));
            echo "<script>alert('错误！无法保存学生数据。');</script>";
        }
        mysqli_stmt_close($stmtStudent);
    } else {
        error_log("Prepare statement for student insertion failed: " . mysqli_error($link));
        echo "<script>alert('错误！无法准备学生插入语句。');</script>";
    }
}
// mysqli_close($link); // 在脚本结束或不再需要连接时关闭
?>

// 错误的、不安全的写法：
// $query = "INSERT INTO tbl_students (st_name) VALUES ('$studentName')"; 

// 正确的、安全的写法（使用mysqli）：
$query = "INSERT INTO tbl_students (st_name, st_email, st_code) VALUES (?, ?, ?)";
$stmt = mysqli_prepare($link, $query); // 1. 准备语句

if ($stmt) {
    // 2. 绑定参数：第一个参数是类型字符串，"sss" 表示三个字符串类型参数
    // 如果是 int, string, string 则写 "iss"
    mysqli_stmt_bind_param($stmt, "sss", $studentName, $studentEmail, $studentCode); 

    // 3. 执行语句
    $success = mysqli_stmt_execute($stmt); 

    if ($success) {
        // 处理成功
    } else {
        // 处理失败
        error_log("SQL execution failed: " . mysqli_stmt_error($stmt));
    }
    mysqli_stmt_close($stmt); // 关闭语句
} else {
    // 准备失败
    error_log("SQL prepare failed: " . mysqli_error($link));
}