PHP多条件复选框筛选实现方法

本文深入讲解了如何用 PHP 和 MySQL 实现安全、健壮的多条件复选框筛选功能，直击开发中常见的 foreach 参数类型错误、逻辑混乱和 SQL 注入风险等痛点，通过语义化分组命名（如 forWho[]、runeType[]）、统一数组接收、预处理语句动态构建 WHERE 条件等实战方案，不仅彻底规避了“Invalid argument supplied for foreach()”等运行时错误，还确保了查询的可扩展性与安全性——无论用户勾选职业、装备类型中的一个或多个组合，系统都能高效返回精准交集结果，是构建动态筛选功能不可错过的实用指南。

本文详解如何使用 PHP 和 MySQL 实现基于多个复选框（如职业、装备类型）的精准 SQL 查询，解决 foreach() 参数类型错误、逻辑混乱及 SQL 注入风险问题，并提供安全、可扩展的过滤方案。

本文详解如何使用 PHP 和 MySQL 实现基于多个复选框（如职业、装备类型）的精准 SQL 查询，解决 `foreach()` 参数类型错误、逻辑混乱及 SQL 注入风险问题，并提供安全、可扩展的过滤方案。

在构建动态筛选功能时，常见的误区是混用多个 name 属性（如 choice[]、choice1[]、choice2[]）并试图交叉比对数组，这不仅导致逻辑冗余，更易触发 “Invalid argument supplied for foreach()” 错误——正如你遇到的 foreach() argument must be of type array | object, string given。根本原因在于：$_GET['choice1'] 在未勾选任何对应复选框时可能为字符串（如被浏览器默认提交为单值），或 HTML 中存在重复/无效的 hidden 输入干扰了数组结构。

✅ 正确做法是：语义化分组 + 单一数组接收 + 条件组合查询。我们应将筛选维度清晰分离，例如：

• forWho[]：接收职业类选项（tank, mage, archer）
• runeType[]：接收装备类选项（weapon, armor, ring, amulet, artefakt）

对应 HTML 应精简重构（移除冗余 hidden 字段，统一命名）：

  

    
    dla Tanka
  
  

    
    dla Maga
  
  

    
    dla Łucznika
  




  

    
    na Broń
  
  

    
    na Zbroję
  
  

PHP 后端处理需兼顾 健壮性、安全性与性能：

1. ✅ 检查数组是否存在且非空（避免 foreach 报错）
2. ✅ 使用预处理语句防止 SQL 注入（绝对禁止直接拼接 $_GET 值！）
3. ✅ 支持多维度 AND 或 OR 组合（本例采用交集：同时满足职业 和 装备类型）
4. ✅ 合并结果集，避免多次查询造成 N+1 问题

优化后的核心代码如下：

if (isset($_GET['btSubmit'])) {
    $forWho = $_GET['forWho'] ?? [];
    $runeType = $_GET['runeType'] ?? [];

    // 验证至少选择一个维度（可按需调整）
    if (empty($forWho) && empty($runeType)) {
        echo "
Wybierz przynajmniej jedną kategorię filtru
";
        exit;
    }

    // 构建安全的 WHERE 条件（使用参数化占位符）
    $conditions = [];
    $params = [];
    $types = '';

    if (!empty($forWho)) {
        $placeholders = str_repeat('?,', count($forWho) - 1) . '?';
        $conditions[] = "forWho IN ($placeholders)";
        $params = array_merge($params, $forWho);
        $types .= str_repeat('s', count($forWho));
    }

    if (!empty($runeType)) {
        $placeholders = str_repeat('?,', count($runeType) - 1) . '?';
        $conditions[] = "runeType IN ($placeholders)";
        $params = array_merge($params, $runeType);
        $types .= str_repeat('s', count($runeType));
    }

    $whereClause = !empty($conditions) ? 'WHERE ' . implode(' AND ', $conditions) : '';
    $sql = "SELECT * FROM runes $whereClause";

    // 使用 mysqli 预处理（推荐 PDO，此处以 mysqli 为例）
    $stmt = mysqli_prepare($polaczenie, $sql);
    if ($stmt) {
        if (!empty($params)) {
            mysqli_stmt_bind_param($stmt, $types, ...$params);
        }
        mysqli_stmt_execute($stmt);
        $result = mysqli_stmt_get_result($stmt);
        $count = mysqli_num_rows($result);

        if ($count === 0) {
            echo "
Brak pasujących run w bazie
";
        } else {
            echo "
Znaleziono $count pasujących run
";
            while ($row = mysqli_fetch_assoc($result)) {
                $slug = str_replace(' ', '-', $row['runeName']);
                echo <<
  

  
Description 1
  
Description 2
  
Description 3