本文详解在 moodle 自定义表单（moodleform）中如何正确获取 url 中的 id 参数、将其预填充至表单并设为隐藏字段，避免用户篡改，确保更新操作准确指向目标记录。
本文详解在 moodle 自定义表单（moodleform）中如何正确获取 url 中的 id 参数、将其预填充至表单并设为隐藏字段，避免用户篡改，确保更新操作准确指向目标记录。
在 Moodle 插件开发中，实现“编辑已有记录”功能时，常需从 URL（如 /update.php?id=123）提取主键 id，并在表单中安全地携带该值用于后续数据库更新。你当前的代码存在三个关键问题：
-
未将
$id传入表单 → 表单提交时无法获取id，导致update_record()缺失主键； -
误用
get_records()→ 该函数返回数组，而set_data()需要对象； - ID 字段为可编辑文本框 → 用户可随意修改，存在数据错乱与安全风险。
✅ 正确做法如下：
1. 使用 get_record() 获取单条记录对象
$id = required_param('id', PARAM_INT);
$table = 'local_message';
$info = $DB->get_record($table, ['id' => $id]); // ✅ 返回 stdClass 对象
if (!$info) {
throw new moodle_exception('invalidrecord', 'error', '', $id);
}
2. 在表单类中添加隐藏 ID 字段
修改 edit.php 表单定义，移除可编辑的文本框 id，替换为隐藏字段：
// 替换原 $mform->addElement('text', 'id'); 为：
$mform->addElement('hidden', 'id');
$mform->setType('id', PARAM_INT);
$mform->setConstant('id', $id); // 或通过 set_data() 自动填充（见下一步）
? 小技巧：
setConstant()可强制固定字段值（不可被 POST 覆盖），比setDefault()更安全。
3. 向表单预填充数据（关键！）
在 update.php 中，调用 set_data() 将 $info 对象注入表单，使隐藏字段自动填入 ID，并预填其他字段（如 messagetext）：
$mform = new edit(); $mform->set_data($info); // ✅ 此行确保 id 字段被正确赋值 $mform->display();
4. 更新逻辑无需手动赋值 id（更健壮）
$fromform = $mform->get_data() 已包含 id，可直接使用：
} else if ($fromform = $mform->get_data()) {
// ✅ $fromform->id 已由隐藏字段提供，无需 $record->id = $id;
$record = (object)[
'id' => $fromform->id,
'messagetext' => $fromform->messagetext,
'messagetype' => $fromform->messagetype
];
$DB->update_record($table, $record);
redirect(...);
}
⚠️ 注意事项
-
永远不要信任客户端提交的
id：即使使用隐藏字段，也应在更新前二次校验权限与记录存在性（例如检查用户是否有权编辑该消息）； -
错误处理不可省略：
get_record()返回false时必须抛出异常或重定向，避免空对象导致静默失败； -
表单验证补充：在
validation()方法中可加入 ID 校验逻辑（如if (empty($data['id'])) { $errors['id'] = 'ID is required'; }）。
遵循以上步骤，你的编辑表单即可安全、稳定地完成带 ID 的更新操作——ID 由 URL 注入、由隐藏字段携带、由 set_data() 自动绑定，既符合 Moodle 最佳实践，也保障了数据一致性与安全性。
