PHP中如何区分不同isset条件并正确更新数据表指定行？

问题根源 #

你的代码存在三个核心问题导致更新异常：

• WHERE子句语法错误：原UPDATE语句中item_id = '$log_id AND item_task缺少闭合单引号，正确写法应为item_id = '$log_id' AND item_task，语法错误会让WHERE条件逻辑混乱，匹配结果完全不符合预期。
• SQL注入风险+参数拼接错误：直接把POST变量硬拼进SQL语句，不仅有严重的SQL注入风险，还可能因特殊字符导致SQL解析异常，引发不可控的执行结果。
• 冗余逻辑导致重复数据：先插入再更新的流程，很容易产生重复数据库条目，且更新条件的准确性无法保证。

修复方案 #

推荐使用INSERT...ON DUPLICATE KEY UPDATE语句合并插入与更新逻辑，同时用PDO参数绑定彻底规避注入风险。

前提准备

先给carpet_items_extra表创建联合唯一索引（或联合主键），确保item_id、item_task、item_barcode三者组合唯一：

ALTER TABLE carpet_items_extra ADD UNIQUE KEY idx_unique_item (item_id, item_task, item_barcode);

修正后的代码

foreach ($_POST['form_item'] as $key => $value) {
    // 提取POST参数并设置默认值
    $barcode = $_POST['form_barcode'][$key] ?? '';
    $task = $_POST['form_task'][$key] ?? '';
    
    // 处理price_standard的默认值
    $price_standard = isset($_POST['form_price_standard'][$key]) && trim($_POST['form_price_standard'][$key]) !== '' 
        ? $_POST['form_price_standard'][$key] 
        : 0;
    
    // 处理price_daily_1和duration_2的默认值
    $hasDailyData = isset($_POST['form_price_daily_1'][$key]) && trim($_POST['form_price_daily_1'][$key]) !== '' 
                    && isset($_POST['form_duration_2'][$key]) && trim($_POST['form_duration_2'][$key]) !== '';
    $price_daily_1 = $hasDailyData ? $_POST['form_price_daily_1'][$key] : 0;
    $duration_2 = $hasDailyData ? $_POST['form_duration_2'][$key] : 0;

    // 使用参数绑定的合并语句，避免注入+一次性完成插入/更新
    $sql = "INSERT INTO carpet_items_extra (`item_id`, `item_task`, `item_barcode`, `price_standard`, `price_daily_1`, `duration_2`)
            VALUES (:log_id, :task, :barcode, :price_standard, :price_daily_1, :duration_2)
            ON DUPLICATE KEY UPDATE 
                price_standard = VALUES(price_standard),
                price_daily_1 = VALUES(price_daily_1),
                duration_2 = VALUES(duration_2)";
    
    $stmt = $pdo->prepare($sql);
    $stmt->bindParam(':log_id', $log_id);
    $stmt->bindParam(':task', $task);
    $stmt->bindParam(':barcode', $barcode);
    $stmt->bindParam(':price_standard', $price_standard);
    $stmt->bindParam(':price_daily_1', $price_daily_1);
    $stmt->bindParam(':duration_2', $duration_2);
    
    $stmt->execute();
}

修复说明 #

1. 语法错误修正：通过联合唯一索引替代原错误的WHERE条件，确保精准匹配到需要更新的记录。
2. SQL注入防护：使用PDO参数绑定，将变量与SQL语句完全分离，彻底杜绝注入风险。
3. 逻辑优化：合并插入与更新操作，既不会产生多余数据库条目，又能保证每条对应数据都被正确更新。
4. 参数处理简化：用??运算符和三元表达式简化默认值设置，代码更简洁易维护。

内容的提问来源于stack exchange，提问作者lazy_titan94