PHP根据用户累计积分与阈值比较控制按钮显隐问题排查

一、存在的错误点 #

• SQL语法错误1：等值判断符号错误：SQL中的等值判断使用=而非==，你代码中写的punti.id_cliente==属于语法错误
• SQL语法错误2：内连接缺少关联条件：INNER JOIN必须指定两个表的关联字段，当前写法会生成全表笛卡尔积，拿到错误的阈值数据甚至返回空结果
• SQL语法错误3：参数拼接错误：拼接$_GET["id_cliente"]时缺少参数前的单引号，尾部多了冗余单引号，会直接触发SQL语法报错
• 安全风险：SQL注入隐患：直接将用户传入的$_GET参数拼接进SQL语句，存在严重的SQL注入风险
• 逻辑漏洞：空结果兼容缺失：如果用户无积分记录时$row会是空值，直接调用$row['punti']会抛出PHP警告，同时判断逻辑会异常

二、修复后的代码 #

<?php
require_once("../config/config.php");
// 先校验传入的用户ID合法性
$id_cliente = isset($_GET["id_cliente"]) ? intval($_GET["id_cliente"]) : 0;
if ($id_cliente <= 0) {
    echo "<div style='font-size:16px;text-align:center;'>参数错误</div>";
    exit;
}

/* 两种场景选对应SQL即可：
场景1：积分阈值是全局统一配置，SQL如下：
$sql = "SELECT SUM(punti.punti) as punti, (SELECT calcolo FROM calcolo_punti LIMIT 1) as calcolo FROM punti WHERE id_cliente = ?";
场景2：每个用户单独配置阈值，用下面的关联SQL，关联字段可根据实际表结构调整
*/
$stmt = mysqli_prepare($con, "SELECT 
    SUM(punti.punti) as punti, 
    calcolo_punti.calcolo as calcolo 
    FROM punti 
    LEFT JOIN calcolo_punti ON calcolo_punti.id_cliente = punti.id_cliente
    WHERE punti.id_cliente = ?
    GROUP BY punti.id_cliente");
mysqli_stmt_bind_param($stmt, "i", $id_cliente);
mysqli_stmt_execute($stmt);
$result = mysqli_stmt_get_result($stmt);
$row = mysqli_fetch_array($result, MYSQLI_ASSOC);

// 兼容空数据场景，设置默认值
$total_points = $row['punti'] ?? 0;
$threshold = $row['calcolo'] ?? 10;

if ($total_points >= $threshold) {
    include('scala.php');
} else {
    echo "<div style='font-size:16px;text-align:center;'>
    积分不足无法兑换折扣券</div>";
}
?>

内容的提问来源于stack exchange，提问作者Luigi