PHP表单验证：解决isset()误判与empty()的正确应用

<form class="form form_hidden" id="createAccount" action="createaccount.php" method="post">
  <h1 class="form_title">Create Account</h1>
  <div class="form_text error_message"></div>
  <input type="text" placeholder="First Name" name="fname" id="fname" required />
  <input type="text" placeholder="Last Name" name="lname" id="lname" required />
  <input type="email" placeholder="Email Address" name="email" id="email" required />
  <input type="tel" placeholder="(123) 456-7890" name="mobile_number" id="mobile_number" required />
  <input type="password" placeholder="Password" name="password" id="password" required />
  <input type="password" placeholder="Confirm Password" name="confirm_password" id="confirm_password" required />
  <button type="submit">Continue</button>
  <p class="form_text">
    Already have an account? <a href="./" id="linkLogin">Sign in!</a>
  </p>
</form>

<?php
session_start();
require_once "config.php";

// 原始的字段存在性检查
if (!isset($_POST['fname'], $_POST['lname'], $_POST['email'], $_POST['mobile_number'], $_POST['password'], $_POST['confirm_password'])) {
  exit('Please fill in all fields.');
}

// ... 后续逻辑 ...
?>

<?php
session_start();
require_once "config.php";

// 使用 !empty() 组合检查所有必填字段是否已填写
if (!(
    !empty($_POST['fname']) &&
    !empty($_POST['lname']) &&
    !empty($_POST['email']) &&
    !empty($_POST['mobile_number']) &&
    !empty($_POST['password']) &&
    !empty($_POST['confirm_password'])
)) {
  exit('请填写所有必填字段。'); // 如果任何一个字段为空，则退出并提示错误
}

// 获取并初步清洗用户输入
// 使用 trim() 移除字符串两端的空白字符，避免用户只输入空格
$fname = trim($_POST['fname']);
$lname = trim($_POST['lname']);
$email = trim($_POST['email']);
$mobile_number = trim($_POST['mobile_number']);
$password = $_POST['password']; // 密码通常不进行 trim()，以保留用户意图
$confirm_password = $_POST['confirm_password'];

// 更完善的表单验证策略
// 1. 密码确认
if ($password !== $confirm_password) {
    exit('两次输入的密码不一致，请重新确认。');
}

// 2. 邮件格式验证
if (!filter_var($email, FILTER_VALIDATE_EMAIL)) {
    exit('请输入有效的邮箱地址。');
}

// 3. 手机号格式验证 (示例，可根据实际需求调整正则表达式)
// if (!preg_match("/^\d{10}$/", $mobile_number)) { // 假设10位数字
//     exit('请输入有效的手机号码。');
// }

// 4. 密码强度验证 (示例，可根据需求增加长度、字符类型等限制)
if (strlen($password) < 8) {
    exit('密码长度至少为8位。');
}

// 对密码进行哈希处理，这是存储密码的必备安全措施
$hashed_password = password_hash($password, PASSWORD_DEFAULT);

// SQL 语句准备与执行
// 注意：以下代码段是基于原问题提供的SQL部分进行修正，
// 旨在演示正确的参数绑定和执行流程，并修复原代码中潜在的绑定错误。
if ($stmt = $db->prepare('INSERT INTO accounts (fname, lname, email, mobile_number, password) VALUES (?, ?, ?, ?, ?)')) {
    // 确保参数数量和类型字符串匹配
    // 's' 代表 string，这里有5个字符串参数
    mysqli_stmt_bind_param($stmt, "sssss", $fname, $lname, $email, $mobile_number, $hashed_password);

    if (mysqli_stmt_execute($stmt)) {
        // 注册成功，重定向到登录页面
        header("Location: index.php");
        exit(); // 重定向后务必使用 exit() 终止脚本执行
    } else {
        // 数据库执行失败
        echo "Oops! Something went wrong! Please try again later.";
        // 生产环境中应记录详细错误日志而非直接输出给用户
    }
    // 关闭预处理语句
    mysqli_stmt_close($stmt);
} else {
    // 预处理语句准备失败，通常是SQL语法错误或数据库连接问题
    echo "Error preparing statement: " . $db->error;
    // 生产环境中应记录详细错误日志
}

// 注意：原问题代码中存在变量赋值顺序问题 ($param_email = $email; 在 bind_param 之后)
// 修正后的代码已确保所有变量在 bind_param 之前已被正确赋值。
?>

mysqli_stmt_bind_param($stmt, "ss", $param_email, $param_password, $param_fname, $param_lname, $param_mobile_number);