我似乎找不到一个合适的方法来向数据库表添加可变数量的字段。假设我正在构建一个web应用程序，访问者可以在其中注册并管理他们的联系人。他们可以通过表格添加个人联系人，该表格具有以下文本输入字段：
- 联系人姓名
- 电话号码
- 电子邮件地址
- 公司
- 地址
- 主页
在该表单中，只需要"联系人姓名"字段，因此完全可以在不知道联系人电话号码的情况下添加其电子邮件地址。如何在PHP中正确实现这一点？
我以前做过的方法包括迭代$_POST数组，并检查每个特定字段是否已经提交。如果已提交字段，则其字段名将添加到SQL语句中。然后我们对这些值做同样的操作。
我的直觉告诉我，这种工作方式是错误的，但我想不出其他方法…
function generateSQLStatement($_POST) {
// Add field names to SQL statement
foreach ($_POST as $field => $value) {
if (!empty($value)) {
$sql .= $field . ', ';
}
}
// Remove last comma and space
$sql = substr($sql, 0, -2);
// Add values to SQL statement
$sql .= ') VALUES (';
foreach ($_POST as $field => $value) {
if (!empty($value)) {
$sql .= $value . ', ';
}
}
// Remove last comma and space
$sql = substr($sql, 0, -2);
$sql .= ')';
return $sql;
}
请注意，在下面的代码中，SANITIZE_ME是方法（如mysqli::real_escape_string）的占位符，或者是适合您情况的任何方法。你需要根据情况调整这个答案。
function generateSQLStatement($_POST) {
$fieldNames = "";
$values = "";
foreach ($_POST as $field => $value) {
if (!empty($value)) {
if (!empty($fieldNames)) {
$fieldNames .= ',';
$values .= ',';
}
$fieldNames .= SANITIZE_ME($field);
$values .= "'" . SANITIZE_ME($value) . "'";
}
}
return "($fieldNames) VALUES ($values)";
}
这种方法只使用一个循环，因此速度更快。但是，您可能希望根据预定义的可接受字段数组验证字段名称，以防有人编辑发布到脚本中的表单并输入无效的字段名称。
编辑
一种更通用的方法可以用来创建一个实用函数，您可以在整个应用程序中轻松地与其他表一起重用：
这批可以放在一些通用的包含文件中：
// An array whose keys are valid table names and
// whose values are arrays of valid field names
// within the table named in the key
$acceptableFields = array(
'contacts' => array(
// valid fields in the 'contacts' table
'name', 'address' //...
)
// ... other mappings, if desired
);
function isValidField($table, $field) {
if (!isset($acceptableFields[$table]))
return false;
return in_array($field, $acceptableFields[$table]);
// Note that in_array is case-sensitive, so you may want
// to just manually loop through $acceptableFields[$table]
// and compare strings yourself.
}
function insertData($table, array $fieldValuesMap, mysqli $mysqli) {
// First, some self-explanatory validation:
if ($table === null)
throw new InvalidArgumentException('$table cannot be null');
if (!is_string($table))
throw new InvalidArgumentException('$table must be a String');
if (empty($table))
throw new InvalidArgumentException('$table cannot be an empty String');
if (!isset($acceptableFields[$table]))
throw new InvalidArgumentException("'"$table'" is an invalid table name");
$fieldNames = "";
$values = "";
foreach ($fieldValuesMap as $field => $value) {
// check the field name is valid for the given table
// and that the value is not empty. You may want to
// add a logging mechanism for invalid field names to
// help track bugs or even malicious use
if (isValidField($table, $field) && !empty($value)) {
// check to see whether there are any items in
// the lists already
if (!empty($fieldNames)) {
// yes, so add commas:
$fieldNames .= ',';
$values .= ',';
}
// no need to escape the field name as we have already
// checked that it is valid
$fieldNames .= $field;
// but we do need to escape the value
$values .= "'" . $mysqli->real_escape_string($value) . "'";
}
}
// check whether we've actually got anything to insert:
if (empty($fieldNames))
return NULL;
return $mysqli->query("INSERT INTO $table ($fieldNames) VALUES ($values)");
}
页面上添加联系人的示例用法：
require_once "above.file"; // whatever it's called
if ($_POST) {
$mysqli = new MySQLi(/*...*/);
if (mysqli_connect_errno()) {
// handle connection error
} else {
// set your charset
$mysqli->set_charset("utf8"); // or whatever you use
$result = insertData('contacts', $_POST, $mysqli);
if ($result === NULL) {
// There was nothing to insert
} elseif ($result === FALSE) {
// An error occurred, handle it here
} else {
// Success! Use $mysqli->insert_id to get your new
// record's ID (if appropriate).
}
}
}
//
//==============================================
一点额外的工作，你最终会得到一些灵活和可重复使用的东西。不过，就我个人而言，我更喜欢一种更面向对象（主动记录）的方法。