PHP脚本抛出500内部错误

Question

我有一个 Javascript 脚本，它通过 POST 将 Ajax 请求发送到以下 PHP 脚本。 $db 是从上面传递的，但我知道那部分有效。我收到了 500 内部服务器错误。我无法查看服务器日志，因此无法获得比这更详细的信息。有谁知道我可以做些什么来解决它？

function register($db) {
    $user = $_POST['username'];
    $pass = $_POST['password'];

    $query = "SELECT username FROM users WHERE username='$user'";
    $result = mysqli_query($db, $query);
    if (mysqli_fetch_array($result)[0] == $user) {
        echo "taken";
    }
    else {
        $query = "INSERT INTO users (username, password) VALUES ('$user', '$pass')";

        if (mysqli_query($db, $query)) {
            echo "success";
        }
    }
}

Answer 1

这更像是一个推论，而不是一个实际的答案，但对于评论的格式来说它太长了。

为了跟进@MarcB 的评论，您应该将代码更改为不受 SQL 注入攻击：

$user = $_POST['username'];
$pass = $_POST['password'];

$link = new mysqli($host, $username, $password, $database);
if(!$link)
{
    die("Unable to connect to MySQL");
}

$stmt = $link->prepare("SELECT username FROM users WHERE username=?");
$stmt->bind_param("s", $user);
$stmt->bind_result($testUsername);
$stmt->execute();
$stmt->store_result();
$stmt->fetch();

if($stmt->num_rows > 0)
{
    echo "taken";
}
else
{
    $stmt = $link->prepare("INSERT INTO users (username, password) VALUES(?, ?)");
    $stmt->bind_param("ss", $user, $pass);
    $stmt->execute();

    echo "success";
}

Answer 2

我相信您有一个解析错误，该错误已在更高版本的 PHP 中得到修复。以下代码行无效

if (mysqli_fetch_array($result)[0] == $user) {

为了解决这个问题，您需要将该行更改为以下内容：

$row = mysqli_fetch_array($result);
if ($row[0] == $user) {

此外，您的代码还存在相当严重的 SQL 注入漏洞。在查询中使用它们之前，您需要清理变量。对于整数和浮点数，我建议您执行以下操作：

$myInt   = (isset($_POST['myInt'])   ?   (int)$_POST['myInt']   : null);
$myFloat = (isset($_POST['myFloat']) ? (float)$_POST['myFloat'] : null);

对于字符串，您应该使用mysqli_real_escape_string()，如下所示：

$myStr = (isset($_POST['myStr']) ? mysqli_real_escape_string($_POST['myStr']) : null);

在您的情况下，您的 $user 和 $pass 变量需要像上面的字符串一样进行清理。强制您通过$_POST 接收的数字类型的原因是它完全否定了某人通过无效值的任何可能性。任何不是 0、1、2、3、4 等的被转换为 (int) 的东西都会变成 0。