如何使用PHP根据用户会话导出专属SQL数据到Excel文件

霞舞 2025-12-31 00:00:00 次阅读

本文讲解如何安全、准确地从mysql数据库中查询当前登录用户的记录，并导出为excel文件，重点解决因会话变量名不匹配或sql注入风险导致的查询失败问题。

在PHP Web应用中，常需为每位登录用户导出其专属数据（如工单、订单、日志等）至Excel。你遇到的问题——WHERE UserName = $_SESSION['useruid'] 查询无结果，而全表查询却正常——通常源于两个关键原因：字段名与会话键名不一致，以及未做SQL注入防护。

首先，请确认数据库字段名与会话变量实际存储内容是否匹配：

若数据库中存储用户名的字段是 UserName，则应使用 $_SESSION['username']（而非 useruid）；
若字段是 user_id 或 uid，则应对应 $_SESSION['useruid']，但此时条件应为 user_id = ?，且需确保该字段类型与值一致（如整型ID不应与字符串用户名混用）。

✅ 正确写法（推荐使用预处理语句，杜绝SQL注入）：

// 假设数据库字段为 'UserName'，且登录时已将用户名存入 $_SESSION['username']
$stmt = $conn->prepare("SELECT id, subject, status, created_at FROM tickets_list WHERE UserName = ?");
$stmt->bind_param("s", $_SESSION['username']);
$stmt->execute();
$result = $stmt->get_result();

⚠️ 切勿再使用拼接字符串方式（如 ".$_SESSION['...']."'），否则极易引发SQL注入漏洞，且一旦 $_SESSION['useruid'] 为空、未定义或含特殊字符，查询将直接失败或返回意外结果。

导出为Excel（兼容Excel 2003+，使用CSV格式，轻量可靠）示例：

// 设置响应头，触发下载
header('Content-Type: text/csv; charset=utf-8');
header('Content-Disposition: attachment; filename="my_tickets_' . date('Y-m-d') . '.csv"');

$output = fopen('php://output', 'w');
// 写入UTF-8 BOM以确保Excel正确识别中文
fprintf($output, "\xEF\xBB\xBF");

// 写入表头
fputcsv($output, ['ID', '主题', '状态', '创建时间']);

// 写入数据行
while ($row = $result->fetch_assoc()) {
    fputcsv($output, [
        $row['id'],
        $row['subject'],
        $row['status'],
        $row['created_at']
    ]);
}
fclose($output);
exit;

? 注意事项：