使用 PHP 到 MySQL 创建帐户 [重复]

Question

我对 PHP/MySQL 不太了解，所以请原谅我的无知。 我的网站上有一个登录表单，我创建了一个用于创建帐户的表单，视觉上一切都很好，但是，我需要将数据发送到我在 mysql 中的客户帐户表。当我提交表单时，它似乎可以工作，创建 ID 1，但所有其他字段都是空白的。

PHP：

<?php

$hostname="localhost";
$username="createaccount";
$password="******";
$dbname="Island_Web_Design";
$usertable="customer_accounts";
$connection = mysql_connect($hostname, $username, $password);
mysql_select_db($dbname, $connection);

$sql="INSERT INTO customer_accounts (firstname, lastname, email, password)
VALUES
('$_POST[firstname]','$_POST[lastname]','$_POST[email]','$_POST[password]')";


if (!mysql_query($sql,$connection))
  {
  die('Error: ' . mysql_error());
  }
echo "1 record added";

mysql_close($con);

?>

HTML：

<form role="form" action="Create_Account.php">
                            <div class="row">
                                <div class="col-xs-6 col-sm-6 col-md-6">
                                    <div class="form-group">
                                        <input type="text" name="firstname" id="firstname" class="form-control input-sm floatlabel createinput" placeholder="First Name">
                                    </div>
                                </div>
                                <div class="col-xs-6 col-sm-6 col-md-6">
                                    <div class="form-group">
                                        <input type="text" name="lastname" id="last_name" class="form-control input-sm createinput" placeholder="Last Name">
                                    </div>
                                </div>
                            </div>
                            <div class="form-group">
                                <input type="email" name="email" id="email" class="form-control input-sm createinput" placeholder="Email Address">
                            </div>
                            <div class="row">
                                <div class="col-xs-6 col-sm-6 col-md-6">
                                    <div class="form-group">
                                        <input type="password" name="password" id="password" class="form-control input-sm createinput" placeholder="Password">
                                    </div>
                                </div>
                                <div class="col-xs-6 col-sm-6 col-md-6">
                                    <div class="form-group">
                                        <input type="password" name="password_confirmation" id="password_confirmation" class="form-control input-sm createinput" placeholder="Confirm Password">
                                    </div>
                                </div>
                            </div>
                            <input type="submit" name="submit" value="Create Account" class="btn btn-primary btn-block register">
                        </form>

提前谢谢你。

Answer 1

对于初学者，您应该停止对新代码使用mysql_* 函数。它已从最新版本 (7) 中的语言中删除。而是升级到mysqli 或PDO：

Why shouldn't I use mysql_* functions in PHP?.

其次，您应该防止代码中存在 SQL 注入漏洞：

How can I prevent SQL-injection in PHP?

第三，当您的应用程序中存在安全漏洞时，您应该散列您的密码以防止密码泄露。

password_hash()

最后回答您的问题：如果您不将表单告知POST，它将改为发出GET 请求。将您的表单更改为<form role="form" action="Create_Account.php" method="post">。

您可以也应该针对此类问题自行调试代码。最简单的形式是在变量上使用var_dump(); 来查看变量是否包含您认为它们包含的内容。您还可以通过打开您喜欢的浏览器的开发者工具来检查发出的请求。

您的代码可以/应该重写为：

<?php

$dbConnection = new PDO('mysql:dbname=Island_Web_Design;host=localhost;charset=utf8', 'createaccount', '******');

$dbConnection->setAttribute(PDO::ATTR_EMULATE_PREPARES, false);
$dbConnection->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);

$stmt = $dbConnection->prepare('INSERT INTO customer_accounts (firstname, lastname, email, password) VALUES (:firstname, :lastname, :email, :password');

try {
    $stmt->execute([
        'firstname'=> $_POST[firstname],
        'lastname' => $_POST[lastname],
        'email' => $_POST[email],
        'password' => password_hash($_POST[password], PASSWORD_DEFAULT, ['cost' => 14]),
    ]);
} catch(\PDOException $e) {
    die('Error: ' . $e->getMessage());
}

echo "1 record added";

Answer 2

请不要这样做：

('$_POST[firstname]','$_POST[lastname]','$_POST[email]','$_POST[password]')

阅读：Is SQL Injection possible with POST?

修复表单应答器中的 add method="post"，谢谢@jay