本教程详细讲解如何使用php和mysql安全地更新数据库中已有的数值字段，通过将新提交的值累加到现有值上。我们将重点介绍如何利用sql的算术操作以及php的预处理语句（prepared statements）来防止sql注入，确保数据操作的准确性和安全性。
数据库数值字段的累加更新
在Web应用开发中，经常会遇到需要更新数据库中某个数值字段的情况，例如库存数量、积分、点击量等。这类更新通常不是简单地替换现有值，而是将一个新值累加到数据库中已有的值上。例如，如果数据库中某项库存为15，用户提交了5，我们希望最终库存变为20。
错误的尝试与潜在问题
在处理此类需求时，开发者有时会尝试将新值与现有值在SQL查询字符串中进行拼接，例如：
UPDATE inv_tbl SET inhouse = '$new_quantity + $in' WHERE id = '$id'
这种做法存在两个主要问题：
- 逻辑错误： '$new_quantity + $in' 在SQL中会被视为一个字符串字面量，而不是一个数学表达式。数据库会尝试将这个字符串直接存入 inhouse 字段，这显然不是我们期望的累加结果。
- 严重的安全漏洞：SQL注入： 更重要的是，直接将用户输入（如 $new_quantity 和 $id）拼接到SQL查询字符串中，会使应用程序极易受到SQL注入攻击。恶意用户可以通过输入特定的字符串来改变查询的含义，从而窃取、修改甚至删除数据库中的数据。
正确方法：利用SQL内置算术操作
MySQL等关系型数据库支持在 UPDATE 语句中直接进行算术运算。要实现数值的累加，我们应该利用这一特性，将新值直接加到字段的当前值上。
立即学习“PHP免费学习笔记（深入）”；
正确的SQL语句结构应为：
UPDATE 表名 SET 字段名 = 字段名 + 新增值 WHERE 条件
例如，要将 inv_tbl 表中 id 为特定值的 inhouse 字段增加一个数量，SQL语句应为：
UPDATE inv_tbl SET inhouse = inhouse + ? WHERE id = ?
这里的 ? 是占位符，用于后续绑定实际值。
核心：使用PHP预处理语句确保安全与准确
为了结合SQL的算术操作并彻底杜绝SQL注入，PHP提供了预处理语句（Prepared Statements）机制。预处理语句将SQL查询的结构与数据分离，先将带有占位符的SQL模板发送到数据库进行预编译，然后再将实际的数据绑定到占位符上并执行。
为什么需要预处理语句？
- 安全性： 数据和SQL逻辑分离，数据库驱动程序会自动处理特殊字符的转义，有效防止SQL注入。
- 效率： 对于重复执行的查询（只改变参数），数据库只需编译一次SQL模板，后续执行效率更高。
- 清晰性： 代码更易读，SQL语句和参数一目了然。
PHP mysqli 扩展实现预处理语句
以下是使用 mysqli 扩展实现安全累加更新的PHP代码示例：
<?php
// 假设 connections 是一个 mysqli 数据库连接对象
include("../../connection.php");
if (isset($_POST['update'])) {
// 获取通过POST方法提交的数据
$id = $_POST['id'];
$quantity_to_add = $_POST['quantity'];
// 1. 准备SQL语句：使用占位符 '?' 代替实际值
// 数据库会直接对 inhouse 字段的当前值进行加法运算
$sql_statement = "UPDATE inv_tbl SET inhouse = (inhouse + ?) WHERE id = ?";
// 2. 创建预处理语句对象
// $connections 必须是一个 mysqli 对象
if ($statement = $connections->prepare($sql_statement)) {
// 3. 绑定参数：将PHP变量绑定到SQL语句的占位符上
// "ii" 表示绑定两个整数类型（integer）的参数
// 第一个 'i' 对应 $quantity_to_add，第二个 'i' 对应 $id
$statement->bind_param("ii", $quantity_to_add, $id);
// 4. 执行预处理语句
if ($statement->execute()) {
// 记录日志或执行其他成功操作
addLog($connections, "Added a stock");
// 重定向用户
header("location: ../stocks.php");
exit(); // 确保重定向后代码不再继续执行
} else {
// 执行失败处理
error_log("Error executing statement: " . $statement->error);
// 可以重定向到错误页面或显示错误信息
echo "更新失败，请稍后再试。";
}
// 5. 关闭预处理语句
$statement->close();
} else {
// 准备语句失败处理
error_log("Error preparing statement: " . $connections->error);
echo "数据库错误，无法准备更新。";
}
}
?>代码解析：
- $connections->prepare($sql_statement)： 这个方法用于创建预处理语句对象。它接收一个带有占位符（?）的SQL查询字符串。如果准备成功，它会返回一个 mysqli_stmt 对象；失败则返回 false。
-
$statement->bind_param("ii", $quantity_to_add, $id)： 这是预处理语句的核心。
- 第一个参数是一个字符串，指定了后续参数的类型。每个字符代表一个参数的类型：
- i：integer（整数）
- d：double（浮点数）
- s：string（字符串）
- b：blob（二进制数据）
- 后续参数是按顺序与SQL语句中占位符对应的PHP变量。在这个例子中，"ii" 表示 $quantity_to_add 和 $id 都是整数类型。
- 第一个参数是一个字符串，指定了后续参数的类型。每个字符代表一个参数的类型：
- $statement->execute()： 执行预处理语句。此时，之前绑定的参数会被发送到数据库，并执行预编译好的SQL查询。
- $statement->close()： 执行完毕后，关闭预处理语句以释放资源。
HTML表单与数据提交
为了将数据提交到上述PHP脚本，HTML表单需要包含 id 和 quantity 字段。一个典型的表单结构如下：
<form method="POST" action="stocks/update-query.php">
<!-- 隐藏字段，用于传递要更新的记录ID -->
<input type="hidden" name="id" value="<?php echo $id; ?>"/>
<!-- 用户输入要增加的数量 -->
<label for="quantity">Inside warehouse quantity:</label>
<input class="form-control" min="0" type="number" name="quantity">
<!-- 提交按钮，其 name 属性应与 PHP 脚本中的 ISSET 检查对应 -->
<button name="update" type="submit" class="btn btn-primary">Add</button>
</form>请注意，name="update" 对应PHP代码中的 if(isset($_POST['update']))。
注意事项与最佳实践
- 输入验证与过滤： 尽管预处理语句可以防止SQL注入，但对用户输入进行验证（例如，确保 quantity 是一个正整数）和过滤仍然是重要的安全实践，以防止无效数据进入数据库。
- 错误处理： 在实际应用中，务必添加健壮的错误处理机制。例如，检查 prepare() 和 execute() 的返回值，并在出现错误时记录日志或向用户显示友好的错误信息。
- 事务处理： 对于涉及多个数据库操作的复杂逻辑，考虑使用数据库事务来确保数据的一致性。
总结
通过本教程，我们学习了如何安全且准确地更新数据库中已有的数值字段，实现累加操作。关键在于利用SQL的内置算术功能，并结合PHP的预处理语句来防止SQL注入等安全漏洞。采用这种方法，不仅能保证数据操作的正确性，还能显著提升应用程序的安全性和稳定性。在任何涉及用户输入与数据库交互的场景中，都应优先考虑使用预处理语句。
