当前位置：首页 > 文章列表 > 文章 > php教程 > PHP动态包含文件的正确方式

PHP动态包含文件的正确方式

2026-01-09 16:18:58 0浏览收藏

在文章实战开发的过程中，我们经常会遇到一些这样那样的问题，然后要卡好半天，等问题解决了才发现原来一些细节知识点还是没有掌握好。今天golang学习网就整理分享《PHP动态包含不同文件的正确方法》，聊聊，希望可以帮助到正在努力赚钱的你。

PHP 中根据数据库查询结果动态包含不同 PHP 文件的正确实现方法

本文详解如何安全、规范地根据数据库返回的州代码（如 TX、KS、CA）动态包含对应 PHP 文件，重点解决赋值与比较混淆、SQL 注入、大小写不一致及代码结构混乱等常见错误。

在 PHP 开发中，根据数据库查询结果动态包含不同页面（如 east.php、kc.php、ca.php）是一个典型需求，但实现时极易因语法误用和安全疏忽导致逻辑失效或漏洞。您原始代码中 if($state='tx') 使用了赋值操作符 =，这会导致 $state 被强制设为字符串 'tx'，表达式恒为真——因此程序永远只执行第一个分支，后续 elseif 完全不会被判断。

✅ 正确做法是使用严格相等比较运算符 ===（推荐），或至少使用 ==，并确保大小写一致（数据库中若存为大写 TX，则需比对 'TX'，而非 'tx'）。

此外，原始代码存在多个关键问题，必须修正：

SQL 注入风险：直接拼接 $_GET['btn'] 到 SQL 查询中，攻击者可构造恶意输入破坏数据库；
未过滤/验证输入：$_GET['btn'] 可能为空、含非法字符或超长；
混合 HTML 与 PHP 结构混乱：频繁开闭标签，降低可读性与可维护性；
变量命名不清晰：如 $btnfromform 建议改为 $billingNumber；
缺少错误处理：数据库连接失败、查询异常未捕获。

以下是重构后的安全、健壮、符合 PSR-12 规范的完整示例：

 20) {
    die('Invalid or missing billing number.');
}

// 3. 使用预处理语句防止 SQL 注入
$mysqli = new mysqli($host, $user, $password, $database_in_use);
if ($mysqli->connect_error) {
    die('Database connection failed: ' . $mysqli->connect_error);
}

$stmt = $mysqli->prepare("SELECT state FROM legacy_escalation WHERE btn LIKE ?");
$searchPattern = "%{$billingNumber}%"; // 如需模糊匹配；若精确匹配，用 ? 并传 $billingNumber
$stmt->bind_param("s", $searchPattern);
$stmt->execute();
$result = $stmt->get_result();

// 4. 处理查询结果并动态包含文件
if ($result && $result->num_rows > 0) {
    $row = $result->fetch_assoc();
    $state = strtoupper(trim($row['state'])); // 统一转大写，避免 tx/TX/tx 混乱

    $includeMap = [
        'TX' => 'east.php',
        'KS' => 'kc.php',
        'CA' => 'ca.php',
        // 可按需扩展其他州
    ];

    if (isset($includeMap[$state])) {
        include $includeMap[$state];
    } else {
        echo "No specific page configured for state: {$state}.";
    }
} else {
    echo "No results found for billing number: " . htmlspecialchars($billingNumber) . ".";
}

$stmt->close();
$mysqli->close();
?>

? 关键改进说明：