PHP与MySQL多对多关系管理：动态复选框与安全数据插入实践

<?php

/**
 * 从数据库获取所有课程信息。
 *
 * @param mysqli $link 数据库连接对象。
 * @return array 包含所有课程数据的数组。
 */
function getAllCourses(mysqli $link): array
{
    $sql = "SELECT cr_id, cr_name, cr_desc FROM tbl_courses ORDER BY cr_name ASC";
    $result = mysqli_query($link, $sql);
    $courses = [];
    if ($result) {
        while ($row = mysqli_fetch_assoc($result)) {
            $courses[] = $row;
        }
        mysqli_free_result($result); // 释放结果集
    } else {
        // 实际应用中应有更完善的错误处理
        error_log("Error fetching courses: " . mysqli_error($link));
    }
    return $courses;
}

// 假设 $link 变量已通过 connection_db() 函数建立数据库连接
// 例如: $link = connection_db();
// 在实际应用中，应确保 $link 在此之前已被正确初始化。

?>

<div class="form-group">
    <label class="col-form-label">选择课程</label>
    <div class="form-check">
        <?php
        // 假设 $link 已经是一个有效的数据库连接对象
        // 并且 getAllCourses 函数已被定义和包含
        $courses = getAllCourses($link); // 调用函数获取课程列表

        if (!empty($courses)) {
            foreach ($courses as $course): ?>
                <div class="form-check form-check-inline">
                    <!-- value 属性设置为课程ID，name 属性使用数组形式 course[] -->
                    <input class="form-check-input" name="course[]" type="checkbox" value="<?= htmlspecialchars($course['cr_id']) ?>">
                    <label class="form-check-label"><?= htmlspecialchars($course['cr_name']) ?></label>
                </div>
            <?php endforeach;
        } else {
            echo "<p>当前没有可用课程。</p>";
        }
        ?>
    </div>
</div>

<?php

// 确保数据库连接 $link 已经建立，例如通过 include_once '../includes/functions.php'; 和 $link = connection_db();
// 假设 connection_db() 函数返回一个 mysqli 连接对象。

if (isset($_POST['submit'])) {
    $studentName = trim($_POST['sname']);
    $studentEmail = trim($_POST['semail']);
    $studentCode = intval($_POST['scode']); // 学生代码通常是整数

    // 获取选中的课程ID数组，如果未选择任何课程，则为空数组
    $selectedCourses = $_POST['course'] ?? [];

    // --- 步骤 1: 插入学生数据到 tbl_students (使用预处理语句) ---
    // st_id 是自增主键，不需要在 INSERT 语句中指定
    $queryStudent = "INSERT INTO tbl_students (st_name, st_email, st_code) VALUES (?, ?, ?)";
    $stmtStudent = mysqli_prepare($link, $queryStudent);

    if ($stmtStudent) {
        // 绑定参数：s-string, s-string, i-integer
        mysqli_stmt_bind_param($stmtStudent, "ssi", $studentName, $studentEmail, $studentCode);

        if (mysqli_stmt_execute($stmtStudent)) {
            // --- 步骤 2: 获取新插入学生的ID ---
            // mysqli_insert_id() 返回上一次 INSERT 操作生成的 ID
            $newStudentId = mysqli_insert_id($link);

            // --- 步骤 3 & 4: 遍历选中的课程ID，插入到 tbl_students_courses (使用预处理语句) ---
            if ($newStudentId && !empty($selectedCourses)) {
                $queryStudentCourse = "INSERT INTO tbl_students_courses (st_id, cr_id, date_insc) VALUES (?, ?, ?)";
                $stmtStudentCourse = mysqli_prepare($link, $queryStudentCourse);

                if ($stmtStudentCourse) {
                    $currentDate = date('Y-m-d H:i:s'); // 获取当前时间作为注册日期

                    foreach ($selectedCourses as $courseId) {
                        // 确保 courseId 是整数，防止潜在的类型不匹配或注入
                        $courseId = intval($courseId);

                        // 绑定参数：i-integer (student ID), i-integer (course ID), s-string (date)
                        mysqli_stmt_bind_param($stmtStudentCourse, "iis", $newStudentId, $courseId, $currentDate);
                        mysqli_stmt_execute($stmtStudentCourse);
                        // 可以在这里添加错误检查：if (!mysqli_stmt_execute($stmtStudentCourse)) { ... }
                    }
                    mysqli_stmt_close($stmtStudentCourse); // 关闭课程关联的预处理语句

                    echo "<script>alert('学生及课程数据保存成功！');</script>";
                    // print "<script>top.location = 'index.php?id=2';</script>"; // 重定向
                } else {
                    echo "<script>alert('错误：无法准备课程关联插入语句！" . mysqli_error($link) . "');</script>";
                }
            } else {
                echo "<script>alert('学生数据保存成功，但未选择课程或获取学生ID失败！');</script>";
            }
        } else {
            echo "<script>alert('错误：学生数据保存失败！" . mysqli_stmt_error($stmtStudent) . "');</script>";
        }