Как организовать вывод зарегистрированных пользователей на PHP

Раздел: Веб-разработка -> Управление пользователями

Просмотр списка пользователей: от простого к защищённому решению

Базовое решение с использованием MySQLi и защитой от XSS

Наиболее распространённый способ - получить данные из таблицы users и вывести их в HTML-таблицу. Важно экранировать вывод, чтобы избежать межсайтового скриптинга.


// config.php
$host = 'localhost';
$user = 'root';
$pass = '';
$dbname = 'test';

$conn = new mysqli($host, $user, $pass, $dbname);
if ($conn->connect_error) {
    die("Ошибка подключения: " . $conn->connect_error);
}

// users.php
require 'config.php';
$sql = "SELECT id, username, email, created_at FROM users ORDER BY id DESC";
$result = $conn->query($sql);
?>
<!DOCTYPE html>
<html>
<head><title>Пользователи</title></head>
<body>
<h2>Список пользователей</h2>
<table border="1">
<tr><th>ID</th><th>Логин</th><th>Email</th><th>Дата регистрации</th></tr>
<?php if ($result->num_rows > 0):
    while ($row = $result->fetch_assoc()): ?>
    <tr>
        <td><?= htmlspecialchars($row['id'], ENT_QUOTES, 'UTF-8') ?></td>
        <td><?= htmlspecialchars($row['username'], ENT_QUOTES, 'UTF-8') ?></td>
        <td><?= htmlspecialchars($row['email'], ENT_QUOTES, 'UTF-8') ?></td>
        <td><?= htmlspecialchars($row['created_at'], ENT_QUOTES, 'UTF-8') ?></td>
    </tr>
    <?php endwhile;
else: ?>
    <tr><td colspan="4">Нет зарегистрированных пользователей</td></tr>
<?php endif; ?>
</table>
<?php $conn->close(); ?>
</body>
</html>

Php скрипт пользователи (php скрипт управления пользователями)

Возможные проблемы:

  • Ошибка подключения к базе данных - проверьте имя хоста, пользователя, пароль и имя БД.
  • SQL-инъекция - в данном запросе нет параметров, но при фильтрации через GET-параметры необходимо использовать подготовленные запросы.
  • XSS - всегда используйте htmlspecialchars при выводе данных, полученных от пользователей.
  • Кодировка - убедитесь, что страница отдаётся в UTF-8, иначе кириллица может отображаться некорректно.

Как сделать запрос к базе данных более безопасным и переносимым с помощью PDO?

PDO - это расширение для работы с базами данных, которое поддерживает множество СУБД и предлагает единый API. Использование подготовленных запросов полностью исключает SQL-инъекции.


// config.php с PDO
$dsn = 'mysql:host=localhost;dbname=test;charset=utf8mb4';
$user = 'root';
$pass = '';
$options = [
    PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION,
    PDO::ATTR_DEFAULT_FETCH_MODE => PDO::FETCH_ASSOC,
];
try {
    $pdo = new PDO($dsn, $user, $pass, $options);
} catch (PDOException $e) {
    die('Ошибка подключения: ' . $e->getMessage());
}

// userspdo.php
require 'configpdo.php';
$sql = "SELECT id, username, email, created_at FROM users ORDER BY id DESC";
$stmt = $pdo->query($sql); // для простого запроса без параметров
?>
<!-- таблица аналогично -->

Users view login php (просмотр пользователей php)

Если требуется фильтрация по параметру (например, поиск), используйте подготовленные выражения:


$search = '%' . $_GET['q'] . '%';
$stmt = $pdo->prepare("SELECT * FROM users WHERE username LIKE :search");
$stmt->execute(['search' => $search]);
$users = $stmt->fetchAll();

Action profile profile php (действие профиля в php)

Типичные ошибки:

  • Неверный DSN - проверьте синтаксис: mysql:host=...;dbname=...;charset=....
  • Исключения не обрабатываются - установите ERRMODE_EXCEPTION для отладки.
  • Использование query() с пользовательскими данными - всегда используйте prepare/execute.

Как отобразить большое количество пользователей постранично (пагинация)?

Пагинация позволяет не нагружать страницу тысячами записей. Нужно вычислить общее количество записей, определить текущую страницу и смещение LIMIT.


// pagination.php
$limit = 10;
$page = isset($_GET['page']) ? (int)$_GET['page'] : 1;
$offset = ($page - 1) * $limit;

$total_query = "SELECT COUNT(*) FROM users";
$total_stmt = $pdo->query($total_query);
$total_pages = ceil($total_stmt->fetchColumn() / $limit);

$stmt = $pdo->prepare("SELECT * FROM users ORDER BY id DESC LIMIT :lim OFFSET :off");
$stmt->bindValue(':lim', $limit, PDO::PARAM_INT);
$stmt->bindValue(':off', $offset, PDO::PARAM_INT);
$stmt->execute();
$users = $stmt->fetchAll();
?>
<!-- пагинация внизу -->
<div>
  <?php for ($i = 1; $i <= $total_pages; $i++): ?>
    <a href="?page=<?= $i ?>"><?= $i ?></a>
  <?php endfor; ?>
</div>

Online online user php (онлайн пользователь в php)

Ошибка: забыли привести переменные к целому числу - SQL-инъекция не страшна благодаря prepared statement, но тип должен быть явно указан. Также необходимо проверять, что $page не меньше 1.

Как добавить поиск по имени пользователя или email?

Поиск реализуется через форму с GET-параметром и оператор LIKE. Важно экранировать спецсимволы, если они не должны интерпретироваться.


// search.php
$search = '';
if (!empty($_GET['q'])) {
    // предотвращаем экранирование символов подстановки, если нужно точное совпадение
    $search = '%' . str_replace(['%', '_'], ['\%', '\_'], $_GET['q']) . '%';
}
$sql = "SELECT * FROM users WHERE username LIKE :search OR email LIKE :search2";
$stmt = $pdo->prepare($sql);
$stmt->execute(['search' => $search, 'search2' => $search]);
$users = $stmt->fetchAll();

User new php (новый пользователь в php)

Проблемы: если не экранировать % и _, пользователь может использовать их как подстановочные символы. Альтернатива - использовать полнотекстовый поиск MySQL (MATCH AGAINST) для больших объёмов.

Как разрешить пользователям сортировать таблицу по столбцам?

Добавим ссылки на заголовки таблицы с параметром sort и order. Валидация столбца обязательна, чтобы избежать инъекции через имя столбца.


$allowed_columns = ['id', 'username', 'email', 'created_at'];
$sort = isset($_GET['sort']) && in_array($_GET['sort'], $allowed_columns) ? $_GET['sort'] : 'id';
$order = isset($_GET['order']) && $_GET['order'] === 'asc' ? 'ASC' : 'DESC';
$next_order = ($order === 'ASC') ? 'desc' : 'asc';

$stmt = $pdo->query("SELECT * FROM users ORDER BY $sort $order"); // сортировка экранирована сверкой
$users = $stmt->fetchAll();

Index login php lang (форма входа на php с выбором языка)

Никогда не вставляйте пользовательские данные напрямую в ORDER BY - используйте белый список допустимых значений, как показано выше.

Как использовать готовый шаблонизатор (Twig) для отделения логики от представления?

Шаблонизаторы автоматически экранируют вывод и улучшают читаемость кода. Установка через Composer: composer require twig/twig.


// users_twig.php
require_once 'vendor/autoload.php';

$loader = new \Twig\Loader\FilesystemLoader('templates');
$twig = new \Twig\Environment($loader);

// получение $users через PDO...
echo $twig->render('users.html.twig', ['users' => $users]);

User php name (имя пользователя в php)

Шаблон users.html.twig:


<table>
  <tr><th>ID</th><th>Логин</th></tr>
  {% for user in users %}
  <tr>
    <td>{{ user.id }}</td>
    <td>{{ user.username }}</td>
  </tr>
  {% endfor %}
</table>

Проблема: необходимо настроить кэширование шаблонов для производительности. Twig автоматически экранирует вывод, но для сложных данных (HTML) нужно использовать фильтр raw осознанно.

- Groups php (группы пользователей в php)
- User php id (id пользователя в php)
- Index php user (пользователь в index.php)

Расширенные примеры реализации просмотра пользователей

Пример 1. Полностью защищённый скрипт с пагинацией, поиском и сортировкой

Пример 

<?php
// advanced_users.php
require 'configpdo.php';

$limit = 10;
$page = max(1, (int)($_GET['page'] ?? 1));
$offset = ($page - 1) * $limit;

$search = $_GET['q'] ?? '';
$search_like = '%' . str_replace(['%', '_'], ['\%', '\_'], $search) . '%';

$allowed_sort = ['id', 'username', 'email', 'created_at'];
$sort = in_array($_GET['sort'] ?? 'id', $allowed_sort) ? $_GET['sort'] : 'id';
$order = (strtolower($_GET['order'] ?? 'desc') === 'asc') ? 'ASC' : 'DESC';

// Подсчёт общего количества (с поиском)
$count_sql = "SELECT COUNT(*) FROM users WHERE username LIKE :search OR email LIKE :search2";
$count_stmt = $pdo->prepare($count_sql);
$count_stmt->execute(['search' => $search_like, 'search2' => $search_like]);
$total = $count_stmt->fetchColumn();
$total_pages = ceil($total / $limit);

// Основной запрос
$data_sql = "SELECT * FROM users WHERE username LIKE :search OR email LIKE :search2 ORDER BY $sort $order LIMIT :lim OFFSET :off";
$stmt = $pdo->prepare($data_sql);
$stmt->bindValue(':search', $search_like);
$stmt->bindValue(':search2', $search_like);
$stmt->bindValue(':lim', $limit, PDO::PARAM_INT);
$stmt->bindValue(':off', $offset, PDO::PARAM_INT);
$stmt->execute();
$users = $stmt->fetchAll();
?>
<!DOCTYPE html>
<html>
<head><title>Пользователи (расширенный просмотр)</title></head>
<body>
<form method="get">
  Поиск: <input type="text" name="q" value="<?= htmlspecialchars($search) ?>">
  <input type="hidden" name="sort" value="<?= $sort ?>">
  <input type="hidden" name="order" value="<?= strtolower($order) ?>">
  <button type="submit">Найти</button>
</form>
<table border="1">
<tr>
  <th><a href="?sort=id&order=<?= $sort === 'id' ? $next_order : 'asc' ?>&q=<?= urlencode($search) ?>">ID</a></th>
  <th><a href="?sort=username&order=<?= $sort === 'username' ? $next_order : 'asc' ?>&q=<?= urlencode($search) ?>">Логин</a></th>
  <th>Email</th>
  <th>Дата</th>
</tr>
<?php foreach ($users as $user): ?>
  <tr>
    <td><?= htmlspecialchars($user['id']) ?></td>
    <td><?= htmlspecialchars($user['username']) ?></td>
    <td><?= htmlspecialchars($user['email']) ?></td>
    <td><?= htmlspecialchars($user['created_at']) ?></td>
  </tr>
<?php endforeach; ?>
</table>
<div>
  Страницы:
  <?php for ($i = 1; $i <= $total_pages; $i++): ?>
    <a href="?page=<?= $i ?>&sort=<?= $sort ?>&order=<?= strtolower($order) ?>&q=<?= urlencode($search) ?>"><?= $i ?></a>
  <?php endfor; ?>
</div>
</body>
</html>

Результат: страница с формой поиска, таблицей с сортируемыми заголовками и постраничной навигацией. Все введённые данные защищены.

Пример 2. Использование PDO с транзакцией для массовых операций (например, блокировка пользователей)

Пример 

// batch_action.php
$pdo->beginTransaction();
try {
    $ids = [1, 2, 3]; // массив ID из POST (предварительно проверен)
    $stmt = $pdo->prepare("UPDATE users SET status = 'banned' WHERE id = ?");
    foreach ($ids as $id) {
        $stmt->execute([(int)$id]);
    }
    $pdo->commit();
    echo "Пользователи заблокированы";
} catch (Exception $e) {
    $pdo->rollBack();
    echo "Ошибка: " . $e->getMessage();
}

Пример 3. AJAX-подгрузка пользователей (JSON + fetch)

Пример 

// api_users.php (возвращает JSON)
header('Content-Type: application/json');
$pdo = new PDO(...);
$stmt = $pdo->query("SELECT id, username, email FROM users");
echo json_encode($stmt->fetchAll());

// client.html
<script>
fetch('api_users.php')
  .then(res => res.json())
  .then(data => {
    let html = '<table>';
    data.forEach(u => {
      html += `<tr><td>${u.id}</td><td>${escapeHtml(u.username)}</td></tr>`;
    });
    html += '</table>';
    document.getElementById('users').innerHTML = html;
  });
function escapeHtml(text) {
  // простой экранировщик
  return text.replace(/&/g,'&').replace(/</g,'<').replace(/>/g,'>');
}
</script>

Пример 4. Использование ORM (Eloquent вне Laravel)

Пример 

// composer require illuminate/database
require 'vendor/autoload.php';
use Illuminate\Database\Capsule\Manager as Capsule;

$capsule = new Capsule;
$capsule->addConnection([
    'driver' => 'mysql',
    'host' => 'localhost',
    'database' => 'test',
    'username' => 'root',
    'password' => '',
    'charset' => 'utf8mb4',
]);
$capsule->setAsGlobal();
$capsule->bootEloquent();

class User extends \Illuminate\Database\Eloquent\Model {
    protected $table = 'users';
}

$users = User::where('username', 'like', '%john%')->orderBy('id', 'desc')->paginate(10);
foreach ($users as $user) {
    echo $user->username . '<br>';
}

Результат: ORM предоставляет удобный синтаксис, автоматическое экранирование и гидрацию моделей.

Просмотр пользователей PHP - comments

En
Users view login php (php)