我的建议，第一步的变量传递后直接处理--也就是直接插入（对于没有值的变量可以插入空值）
$query="insert into $tablename values(...)";
第二步的时候用修改的
$query="update $tablename set 字段名=变量";
如果有需要插入的新的值的话再插入
$query="insert into $tablename values(...)";
第二步的时候用修改的
$query="update $tablename set 字段名=变量";
如果有需要插入的新的值的话再插入
$query="delete from $tablename where ...";
这样就能保证你不用传递那么多的变量
不知道你分多步走的目的是什么?是因为第一步作的是多为必填内容而且会影响第二步的走向? 其实第一步提供的信息已经足够满足一次注册的需要,那就可以马上insert进库,后面的东西如果没有,甚至可以不用再作数据库,也许以后你可能会提供用户取消注册的机会,这样,你就需要考虑是取消的机率大还是不取消的大,我想在多数情况下,这种无聊的人大概不会太多,你对应用户的取消请求再作一次delete的动作并不一定是多浪费的事.
作成hidden也不是什么不安全的事,因为hidden的东西也都是用户刚刚自己填写的.
但是安全不是很好吧，下面是我从天极网上看到的 新版本的PHP都会自动把“$session_auth”的值设置为“shaun”，如果它们被修改的话，以后的脚本都会自动接受修改后的值，这对无状态的Web来说的确是种很不错的工具，但是我们也应该小心。 一个很明显的问题就是确保变量的确来自session，例如，给定上面的代码，如果后续的脚本是下面这样的话： <?php
if (!empty($session_auth))
// Grant access to site here
?> 上面的代码假定如果“$session_auth”被置位的话，就是从session，而不是从用户输入来置位的，如果攻击者通过表单输入来置位的话，他就可以获得对站点的访问权。注意攻击者必须在session注册该变量之前使用这种攻击方法，一旦变量被放进了session，就会覆盖任何表单输入。 Session数据一般是保存在文件中（位置是可配置的，一般是“/tmp”），文件名一般是类似“sess_<session
id>”的形式，这个文件包含变量名称，变量类型，变量值和一些其它的数据。在多主机系统中，因为文件是以运行Web服务器的用户身份（一般是nobody）保存的，因此恶意的站点拥有者就可以通过创建一个session文件来获得对其它站点的访问，甚至可以检查session文件中的敏感信息。 Session机制也为攻击者把自己的输入保存在远程系统的文件中提供了另一个方便的地方，对于上面的例子来说，攻击者需要在远程系统放置一个包含PHP代码的文件，如果不能利用文件上载做到的话，他通常会利用session为一个变量按照自己的意愿赋一个值，然后猜测session文件的位置，而他知道文件名是“php<session
id>”，所以只需猜测目录，而目录一般就是“/tmp”。 另外，攻击者可以任意指定“session id”（例如“hello”），然后用这个“session
id”创建一个session文件（例如“/tmp/sess_hello”），但是“session id”只能是字母和数字组合。 [数据类型]
PHP具有比较松散的数据类型，变量的类型依赖于它们所处的上下文环境。例如：“$hello”开始是字符串变量，值为“”，但是在求值时，就变成了整形变量“0”，这有时可能会导致一些意想不到的结果。如果“$hello”的值为“000”还是为“0”是不同的，empty()返回的结果也不会为真。 PHP中的数组是关联数组，也就是说，数组的索引是字符串型的。这意味着“$hello["000"]”和“$hello[0]”也是不同的。 开发程序的时候应该仔细地考虑上面的问题，例如，我们不应该在一个地方测试某个变量是否为“0”，而在另外的地方使用empty()来验证。 [容易出错的函数]
我们在分析PHP程序中的漏洞时，如果能够拿到源代码的话，那么一份容易出错的函数列表则是我们非常需要的。如果我们能够远程改变这些函数的参数的话，那么我们就很可能发现其中的漏洞。下面是一份比较详细的容易出错的函数列表： <PHP代码执行>
require()：读取指定文件的内容并且作为PHP代码解释
include()：同上
eval()：把给定的字符串作为PHP代码执行
preg_replace()：当与“/e”开关一起使用时，替换字符串将被解释为PHP代码 <命令执行>
exec()：执行指定的命令，返回执行结果的最后一行
passthru()：执行指定命令，返回所有结果到客户浏览器
``：执行指定命令，返回所有结果到一个数组
system()：同passthru()，但是不处理二进制数据
popen()：执行指定的命令，把输入或输出连接到PHP文件描述符 <文件泄露>
fopen()：打开文件，并对应一个PHP文件描述符
readfile()：读取文件的内容，然后输出到客户浏览器
file()：把整个文件内容读到一个数组中 译者注：其实这份列表还不是很全，比如“mail()”等命令也可能执行命令，所以需要自己补充一下。
[如何增强PHP的安全性]
我在上面介绍的所有攻击对于缺省安装的PHP
4都可以很好的实现，但是我已经重复了很多次，PHP的配置非常灵活，通过配置一些PHP选项，我们完全可能抵抗其中的一些攻击。下面我按照实现的难度对一些配置进行了分类： *低难度
**中低难度
***中高难度
****高难度 上面的分类只是个人的看法，但是我可以保证，如果你使用了PHP提供的所有选项的话，那么你的PHP将是很安全的，即使是第三方的代码也是如此，因为其中很多功能已经不能使用。 **** 设置“register_globals”为“off”
这个选项会禁止PHP为用户输入创建全局变量，也就是说，如果用户提交表单变量“hello”，PHP不会创建“$
hello”，而只会创建“HTTP_GET/POST_VARS['hello']”。这是PHP中一个极其重要的选项，关闭这个选项，会给编程带来很大的不便。 *** 设置“safe_mode”为“on”
打开这个选项，会增加如下限制：
1． 限制哪个命令可以被执行
2． 限制哪个函数可以被使用
3． 基于脚本所有权和目标文件所有权的文件访问限制
4． 禁止文件上载功能
这对于ISP来说是一个伟大的选项，同时它也能极大地改进PHP的安全性。 ** 设置“open_basedir”
这个选项可以禁止指定目录之外的文件操作，有效地消除了本地文件或者是远程文件被include()的攻击，但是仍需要注意文件上载和session文件的攻击。 ** 设置“display_errors”为“off”，设置“log_errors”为“on”
这个选项禁止把错误信息显示在网页中，而是记录到日志文件中，这可以有效的抵制攻击者对目标脚本中函数的探测。 * 设置“allow_url_fopen”为“off”
这个选项可以禁止远程文件功能，极力推荐！ 好了，文章到此为止了，如果你想了解一些其它的相关信息，请参考原文所以我的建议是对用户名，密码，甚至是它的一切资料进行加密然后传递
可以自己编写加密算法