PHP数据库更新异常：多次售卖商品后总金额未正确累加

嘿，我来帮你排查这个问题～你的核心问题出在代码执行顺序错误以及没有利用数据库的原子更新来保证数据准确性，咱们一步步来解决：

问题分析 #

先看你原来的代码逻辑：

if(isset($_POST['go']) { $query = "UPDATE users SET amount=$current WHERE email = '" . $_SESSION['email'] . "'"; }
if(isset($_POST['go']) //edit 17.06.2022
{ $current = $amount+100; }

这里有几个关键问题：

1. 执行顺序颠倒：你先构建了UPDATE语句，之后才计算要更新的$current值。第一次执行时$current可能是未定义的旧值，第二次执行时，如果你没有重新从数据库拉取最新的$amount，还是用的页面初始加载时的旧值（比如第一次更新后的200），所以加100后数值不会变化。
2. SQL注入风险：直接把$_SESSION['email']拼接到SQL语句里，很容易被恶意利用，导致数据泄露或破坏。
3. 并发更新隐患：即使顺序对了，在PHP里先读取$amount再计算更新，遇到并发请求时会出现数据覆盖——比如两个请求同时读取200，各自加100后都更新成300，实际应该是400。

最优解决方案 #

让数据库自己处理累加操作，这是原子性的更新操作，能保证每次都是基于数据库里的最新值来累加，同时用预处理语句避免SQL注入：

示例代码（PDO版本） #

// 确保已经开启Session
session_start();

// 假设你已经通过PDO连接到数据库
if(isset($_POST['go'])) {
    // 预处理SQL语句，让数据库直接累加金额
    $updateStmt = $pdo->prepare("UPDATE users SET amount = amount + 100 WHERE email = ?");
    // 绑定参数并执行
    $updateStmt->execute([$_SESSION['email']]);
}

示例代码（mysqli版本） #

如果你用的是mysqli，也可以这样写：

session_start();

if(isset($_POST['go'])) {
    $conn = mysqli_connect("localhost", "username", "password", "dbname");
    // 预处理语句
    $updateStmt = mysqli_prepare($conn, "UPDATE users SET amount = amount + 100 WHERE email = ?");
    mysqli_stmt_bind_param($updateStmt, "s", $_SESSION['email']);
    mysqli_stmt_execute($updateStmt);
}

为什么这个方案有效？ #

• 原子更新：amount = amount + 100是数据库层面的操作，执行时会直接读取当前字段的最新值并累加，完全避免了PHP端读取旧值导致的更新丢失问题。
• 避免SQL注入：通过预处理语句绑定参数，不会把用户输入直接拼接到SQL里，安全性更高。
• 逻辑简洁：不需要在PHP里手动计算金额，减少出错概率。

额外提醒 #

• 确保$_SESSION['email']是有效的，并且你已经在页面开头调用了session_start()来开启会话。
• 不要再使用已经废弃的mysql_*系列函数，改用PDO或mysqli来操作数据库。

内容的提问来源于stack exchange，提问作者Jennifer Cornhill