小型商店PHP数据库：黑熊与北极熊售卖金额区分异常问题排查

嘿，我一眼就看出你代码里的问题啦，咱们来一步步拆解为啥卖北极熊的时候会加100而不是50：

核心问题分析 #

• 遍历所有动物导致多次更新覆盖结果
  你现在的代码会把animal表的所有记录挨个遍历，只要点击售卖按钮，每一条动物记录都会触发一次金额更新。比如表里既有黑熊又有北极熊，最后执行的那条记录的类型会决定最终加多少钱——要是最后一条是黑熊，不管你点的是哪个按钮，都会加100，反之亦然。
• 没有传递「当前售卖的动物类型」
  你的表单没告诉后端用户到底想卖哪一只动物，程序只能盲目遍历所有动物判断，完全不符合业务逻辑。
• 潜在SQL注入风险
  顺便提一句，直接把$_SESSION['email']拼进SQL语句里，很容易被黑客利用SQL注入攻击，得赶紧修正。

修复步骤 #

第一步：修改前端表单，传递售卖的动物类型 #

每个动物的售卖按钮都要带上对应的类型，让后端明确知道用户卖的是什么：

<!-- 放在遍历动物的while循环里，对应每个动物的售卖按钮 -->
<form method="POST">
  <!-- 用隐藏字段传递当前动物类型，htmlspecialchars防止XSS攻击 -->
  <input type="hidden" name="animal_type" value="<?php echo htmlspecialchars($row['type']); ?>">
  <button type="submit" name="go">售卖</button>
</form>

第二步：重构后端逻辑，精准处理售卖请求 #

把处理提交的逻辑从遍历动物的循环里抽出来，直接根据提交的animal_type计算金额，同时用预处理语句避免SQL注入：

// 页面最顶部必须加这个，确保session可用
session_start();

// 先处理售卖提交请求，这部分要放在遍历动物的代码前面
if(isset($_POST['go']) && isset($_POST['animal_type'])){
    // 1. 获取当前用户的最新金额
    $user_email = $_SESSION['email'];
    // 用预处理语句查询，避免SQL注入
    $get_amount_stmt = mysqli_prepare($con, "SELECT amount FROM users WHERE email = ?");
    mysqli_stmt_bind_param($get_amount_stmt, "s", $user_email);
    mysqli_stmt_execute($get_amount_stmt);
    $amount_result = mysqli_stmt_get_result($get_amount_stmt);
    $user_data = mysqli_fetch_assoc($amount_result);
    
    // 检查是否获取到用户数据
    if(!$user_data){
        echo "用户信息获取失败，请重试";
        exit;
    }
    $current_amount = $user_data['amount'];

    // 2. 根据售卖的动物类型计算新金额
    $sold_type = $_POST['animal_type'];
    $new_amount = $current_amount;
    if($sold_type == "black bear"){
        $new_amount += 100.00;
    } elseif($sold_type == "polar bear"){
        $new_amount += 50.00;
    } else {
        echo "未知的动物类型";
        exit;
    }

    // 3. 更新用户金额，同样用预处理语句
    $update_stmt = mysqli_prepare($con, "UPDATE users SET amount = ? WHERE email = ?");
    mysqli_stmt_bind_param($update_stmt, "ds", $new_amount, $user_email);
    $update_success = mysqli_stmt_execute($update_stmt);

    if($update_success){
        echo "售卖成功！金额已更新";
        // 可选：跳回原页面刷新数据
        // header("Location: your_page.php");
        // exit;
    } else {
        echo "更新失败：" . mysqli_stmt_error($update_stmt);
    }
}

// 然后再查询并展示所有动物
$animal_res = mysqli_query($con, "SELECT * FROM `animal`");
if(mysqli_num_rows($animal_res) > 0){
    while($row = mysqli_fetch_array($animal_res)){
        $type = $row['type'];
        echo "<div>
                <p>动物类型：{$type}</p>
                <!-- 插入刚才的售卖表单 -->
                <form method='POST'>
                  <input type='hidden' name='animal_type' value='" . htmlspecialchars($type) . "'>
                  <button type='submit' name='go'>售卖</button>
                </form>
              </div>";
    }
}

额外提醒 #

• 务必确保页面最顶部有session_start();，否则$_SESSION['email']会取不到值。
• 如果animal表记录的是用户拥有的每一只动物（比如用户有3只黑熊），售卖后应该删除对应的动物记录，避免重复售卖。
• 可以添加更多错误处理逻辑，比如用户未登录、动物类型不存在等情况，提升用户体验。

内容的提问来源于stack exchange，提问作者Jennifer Cornhill