两次发布到 MySql 数据库（偶尔）

Question

我有一个将表单响应发布到 MySQL 数据库的脚本。但是，它有时会在每行之间以秒为单位向表格发布两次。

这里是处理脚本：

if (isset($_POST['SignIn']))
    {
        $Name = $_POST['Name'];
        $Sleep = $_POST['Sleep'];
        $Soreness = $_POST['Soreness'];
        $Fatigue = $_POST['Fatigue'];
        $Energy = $_POST['Energy'];
        $Stress = $_POST['Stress'];
        $Total = $Sleep + $Soreness + $Fatigue + $Energy + $Stress;
        $Comments = $_POST['Comments'];

        $sql = "
            INSERT INTO
                YDP_Wellbeing (Name, Sleep, Soreness, Fatigue, Energy, Stress, Total, Comments)
            VALUES
                ('$Name', $Sleep, $Soreness, $Fatigue, $Energy, $Stress, $Total, '$Comments')";

        if (mysqli_query($con, $sql))
        {
            $_SESSION['alert-type'] = 'success';
            $_SESSION['alert-head'] = 'Welcome!';
            $_SESSION['alert-body'] = 'Thank You <strong>' . $Name . '</strong> You\'re Response Has Been Submitted.';
            header("location: index.php");
        }
        else
        {
            echo "Failed: " . mysqli_error($con);
        }
    }

有时发一次，有时发两次，所以问题是间歇性出现的？

Answer 1

不一致行为的最可能原因是重定向后未能停止脚本。不添加die()或exit()，脚本会继续执行。

由于您已将该部分包含在测试 POST 提交的 if 子句中，我假设如果它未通过测试，它将显示要提交的表单。由于重定向后脚本无法终止，它会再次打印表单（并且可能会或可能不会重定向）。

因此，可能发生的是您的用户正在提交表单；然后在提交后看到相同的表单

1. 继续他的快乐之路，
2. 重新提交表单，或
3. 尝试按返回按钮并意外重新提交表单

Answer 2

您的代码容易受到以下攻击

1.) sql 注入攻击，因为您将变量直接传递到 sql 查询中。我已经使用准备好的语句减轻了它

2.) Html 注入和 XSS 攻击：您需要确保对表单输入进行清理。我用intval() 表示整数，strip_tags() 表示字符串，假设 你想去掉危险的html。

3.) 会话固定攻击。我还使用session _regenerate_id() 消除了这种攻击

这是你重新编写的代码

<?php
$servername = "localhost";
$username = "db username goes here";
$pass = "your db password here";
$db_name = "your db name here";

// Create connection
$conn = new mysqli($servername, $username, $pass, $db_name);

// Check connection
if ($conn->connect_error) {
    echo "Connection to db failed";
}

if(isset($_POST['SignIn'])) {

        $Name = strip_tags($_POST['Name']);
        $Sleep = intval($_POST['Sleep']);
        $Soreness = intval($_POST['Soreness']);
        $Fatigue = intval($_POST['Fatigue']);
        $Energy = intval($_POST['Energy']);
        $Stress = intval($_POST['Stress']);
        $Total = $Sleep + $Soreness + $Fatigue + $Energy + $Stress;
        $Comments = strip_tags($_POST['Comments']);


// prepare your data
// i stands for integers and s stands for string
$stmt = $conn->prepare("INSERT INTO YDP_Wellbeing (Name, Sleep, Soreness, Fatigue, Energy, Stress, Total, Comments) VALUES (?, ?, ?, ?, ?, ?, ?, ?)");
$stmt->bind_param("siiiiiis", $Name,$Sleep,$Soreness,$Fatigue,$Energy,$Stress,$Total,$Comments);
$stmt->execute();

if($stmt){
echo "data inserted successfully";

// create session
session_start();
// prevents session fixation attacks using session regenerate id
session_regenerate_id();

//
$_SESSION['alert-type'] = 'success';
            $_SESSION['alert-head'] = 'Welcome!';

            $_SESSION['alert-body'] = 'Thank You <strong>' . $Name . '</strong> You\'re Response Has Been Submitted.';

            header("location: index.php");
}else{
echo "data insertion failed";
}

}

$stmt->close();
$conn->close();
?>