Это основной принцип, но вы должны очистить входные данные из формы. Например, используя mysql_real_escape_string()
.
Но на одной странице вы можете иметь такой код (он не проверен, я не могу на этом компьютере):
<?php
if(isset($_POST['name']))
{
$query = "SELECT * FROM table WHERE firstname = '"+ mysql_real_escape_string($_POST['name']) +"'";
while($node = mysql_fetch_rows())
{
echo "The result: " . $node['id'];
}
}
?>
<form method="post" action="<?php echo $_SERVER['PHP_SELF']; ?>">
<input type="text" name="name" />
</form>
Это отправит самому себе, выполнит запрос, отобразит результат и снова покажет форму.
Для небольших инструментов и т. П. Это нормальный подход, но для более крупных веб-сайтов я бы рекомендовал не смешивать код обработки запросов с HTML. Изучите использование фреймворка для применения шаблона mvc или чего-то подобного.