17370845950

本文详解如何在 php 中基于 pdo 正确实现用户资料更新页面，避免因校验逻辑缺陷导致“已存在字段误报”问题，并提供安全的参数化查询写法与会话管理建议。

在开发用户资料更新功能时，一个常见但容易被忽视的问题是：当表单预填充了当前用户原有数据（如用户名、邮箱），而用户仅修改其中某一项（如仅改姓氏）后提交，系统却因未排除“当前用户自身”而错误判定该用户名/邮箱“已被占用”。这本质上是校验逻辑缺失——数据库查重时未排除当前用户的 ID。

✅ 正确的唯一性校验逻辑

你当前的代码中，检查邮箱和用户名是否存在的 SQL 查询没有排除当前用户（WHERE id != ?），因此即使该邮箱/用户名属于当前用户自己，也会被误判为“已被占用”。修正后的校验应如下：

// 假设 $id 是当前登录用户的主键（需从 session 或 token 中安全获取）
$userId = $_SESSION['user_id'] ?? 0;

// 检查邮箱是否被其他用户占用
$stmt = $pdo->prepare('SELECT 1 FROM users WHERE email = :email AND id != :id');
$stmt->execute(['email' => $email, 'id' => $userId]);
$emailTaken = $stmt->fetch();

// 检查用户名是否被其他用户占用
$stmt = $pdo->prepare('SELECT 1 FROM users WHERE username = :username AND id != :id');
$stmt->execute(['username' => $username, 'id' => $userId]);
$usernameTaken = $stmt->fetch();

if ($emailTaken) {
    header('Location: /panel/profile?email_taken');
    exit;
}
if ($usernameTaken) {
    header('Location: /panel/profile?username_taken');
    exit;
}

⚠️ 注意：务必确保 $userId 来源可信（如从已验证的 session 或 JWT 解析），不可直接从 POST 或 URL 获取，以防越权修改他人资料。

✅ 安全执行更新操作（推荐命名占位符）

使用命名占位符不仅可读性高，还能避免参数顺序错乱风险。同时，无需对输入进行 mysqli_real_escape_string() —— PDO 的预处理机制已天然防御 SQL 注入，该函数在此处无效且混用 MySQLi 函数可能导致兼容性错误（你的代码中 $conn 是 MySQLi 连接，但 $pdo 是 PDO 实例，二者不可混用）：

// ✅ 正确：统一使用 PDO，移除所有 mysqli_* 调用
$sql = "UPDATE users 
        SET username = :username, 
            firstname = :firstname, 
            lastname = :lastname, 
            email = :email 
        WHERE id = :id";

$stmt = $pdo->prepare($sql);
$result = $stmt->execute([
    'username'  => trim($username),
    'firstname' => trim($firstname),
    'lastname'  => trim($lastname),
    'email'     => filter_var($email, FILTER_SANITIZE_EMAIL),
    'id'        => $userId
]);

if ($result && $stmt->rowCount() > 0) {
    // 更新 Session 中的用户信息（避免销毁整个会话）
    $_SESSION['username']  = $username;
    $_SESSION['firstname'] = $firstname;
    $_SESSION['lastname']  = $lastname;
    $_SESSION['email']     = $email;

    header('Location: /panel/profile?success=updated');
    exit;
} else {
    header('Location: /panel/profile?error=update_failed');
    exit;
}

✅ 关键注意事项总结

• 不要销毁整个会话：session_destroy() 会清除所有会话数据并使用户强制登出。正确做法是仅更新相关 session 变量，保持登录态。
• 输入过滤优于转义：对邮箱用 filter_var($email, FILTER_SANITIZE_EMAIL)，对姓名等文本用 trim() + htmlspecialchars()（输出时）即可，无需 SQL 层转义。
• 前端也应做基础校验：配合 HTML5 required、type="email" 等属性提升体验，但后端校验不可省略。
• 添加 CSRF 防护：在表单中加入一次性 token（如 $_SESSION['csrf_token']），提交时比对，防止跨站请求伪造。
• 错误处理要明确：使用 try...catch 包裹 PDO 操作，记录异常日志，但向用户只返回友好提示（如“保存失败，请重试”）。

通过以上改进，你的资料更新页将真正支持“仅修改部分字段”，同时兼顾安全性、健壮性与用户体验。