如何正确使用 MySQLi 预处理语句获取查询结果并实现用户登录验证-php教程-PHP中文网

如何正确使用 MySQLi 预处理语句获取查询结果并实现用户登录验证

本文详解 mysqli 预处理语句中 execute() 返回布尔值导致 fetchAll() 调用失败的常见错误，指出 execute() 仅返回执行成功与否（true/false），真正获取结果需调用 get_result()，并提供安全、可运行的登录验证完整示例。

本文详解 `mysqli` 预处理语句中 `execute()` 返回布尔值导致 `fetchall()` 调用失败的常见错误，指出 `execute()` 仅返回执行成功与否（`true`/`false`），真正获取结果需调用 `get_result()`，并提供安全、可运行的登录验证完整示例。

在使用 MySQLi 面向对象方式编写用户登录逻辑时，一个高频错误是误将 execute() 的返回值当作结果集对象来调用 fetchAll()——这会导致 Fatal error: Call to a member function fetchAll() on bool。根本原因在于：$stmt->execute() 仅执行语句并返回 true（成功）或 false（失败），它不返回结果集；而 fetchAll() 是 mysqli_result 对象的方法，必须基于实际查询结果调用。

✅ 正确流程应为：

准备语句（prepare）
绑定参数（bind_param）
执行查询（execute）→ 此步只校验执行是否成功
获取结果集（get_result()）→ 关键！这才是后续 fetch_all() 或 fetch_assoc() 的调用主体
处理数据并验证密码

以下是修复后的完整、安全的登录代码示例（含错误处理与密码验证）：

MySQL

编写正确的MySQL查询，避免字符集、索引和锁方面的常见陷阱。

下载

<?php session_start();

// 假设 $db 已正确初始化为 mysqli 对象（如 new mysqli($host, $user, $pass, $db_name)）
if (!$db || $db->connect_error) {
    die("数据库连接失败: " . $db->connect_error);
}

if ($_SERVER['REQUEST_METHOD'] === 'POST' && !empty($_POST['name']) && !empty($_POST['password'])) {
    $sql = "SELECT id, username, password FROM users WHERE username = ?";
    $stmt = $db->prepare($sql);

    if (!$stmt) {
        die("预处理失败: " . $db->error);
    }

    $stmt->bind_param("s", $_POST['name']);

    if (!$stmt->execute()) {
        die("执行失败: " . $stmt->error);
    }

    // ✅ 关键修正：使用 get_result() 获取 mysqli_result 对象
    $result = $stmt->get_result();

    // ✅ 使用 fetch_assoc() 逐行获取（更安全，避免空结果集异常）
    $user = $result->fetch_assoc();

    if ($user && password_verify($_POST['password'], $user['password'])) {
        $_SESSION['user_id'] = $user['id'];
        $_SESSION['username'] = $user['username'];
        header('Location: index.php');
        exit;
    } else {
        echo "用户名或密码错误。";
    }

    $stmt->close();
} else {
    echo "请填写完整的登录信息。";
}
?>

⚠️ 重要注意事项：

不要对 execute() 结果调用 fetchAll()：它返回 bool，无 fetchAll 方法；
始终检查 $result 是否有效：$result->num_rows > 0 或直接判断 fetch_assoc() 返回值；
使用 password_verify() 而非明文比对：确保密码字段在注册时已通过 password_hash() 加密存储；
关闭语句资源：调用 $stmt->close() 释放内存；
防止 SQL 注入：本方案已通过预处理参数化杜绝该风险；
避免 fetch_all(MYSQLI_ASSOC) 在空结果集上调用：若无匹配用户，get_result() 返回空结果集，fetch_all() 会返回空数组，但 fetch_assoc() 更直观且不易出错。