使用 $_GET 传递会员 ID

Question

我在尝试创建会员登录系统时遇到问题，其中每个用户都被定向到他们自己的可编辑配置文件。我现在处于登录阶段，并尝试将用户的 ID 从登录页面安全地传递到他们的个人资料页面，以便我可以显示他们的个人资料信息。

现在，在此之后我被重定向到“mydomain.com/index.php?test=Resource%20id%20#8”（我想要，例如“mydomain.com/index.php?test=1111”）代码块：

$user_id = mysql_query("SELECT `id` FROM `users` WHERE `username` = '$user' AND `active`='1'");  
header("location: profile.php?test='$user_id'");
exit();

其中$user 已使用trim、htmlspecialchars 和mysql_real_escape_string 进行清理。用户到达“profile.php”后，我计划在弄清楚如何正确传递用户 ID 后实现类似的操作：

$user_id=(int)$_GET['$user_id'];
mysql_real_escape_string($user_id);
if (isset($user_id)) {
   $user_id = preg_replace('#[^0-9]#i', '', $user_id); // filter everything but numbers

代码还有更多内容，但我相信我已经包含了所有相关信息。任何建议、智慧、想法和评论总是非常感激。非常感谢您的支持。

Answer 1

您无法立即查询并得到结果。

尝试像这样修复上面的部分。

$user_id = mysql_query("SELECT `id` FROM `users` WHERE `username` = '$user' AND `active`='1'");
$user_id = mysql_result($user_id, 0, 'id');  
header("location: profile.php?test='$user_id'");
exit();

Answer 2

你的代码太糟糕了。

1. isset 毫无意义，$user_id 始终设置在那里。
2. preg_replace 是没有意义的 - 在 (int) 之后，变量中只有数字
3. mysql_real_escape_string 是没有意义的 - 在 (int) 之后不会有坏字符

所以用单行替换整个块

$user_id = isset($_GET['user_id']) ? (int)$_GET['user_id'] : 0;