基于用户输入的PHP预处理语句执行失败，求代码排查

我帮你梳理下代码里的几个关键问题，这些都是导致执行失败的核心原因：

1. 致命的变量覆盖错误 #

这是最严重的问题，直接破坏了数据库连接：

$stm=$query=$conn = "INSERT INTO `orders` (userid, username, quantity, timee, image, uprice, tprice) VALUES(:userid, :username, :quantity, :timee, :image, :uprice, :tprice)";

你把SQL字符串同时赋值给了$stm、$query和$conn，这直接覆盖了从conn.php引入的数据库连接对象$conn！后面调用$conn->prepare()时，$conn已经变成普通字符串了，自然会触发致命错误。

修正方式：只把SQL语句赋值给$stm即可：

$stm = "INSERT INTO `orders` (userid, username, quantity, timee, image, uprice, tprice) VALUES(:userid, :username, :quantity, :timee, :image, :uprice, :tprice)";

2. 重复调用execute() #

你连续执行了两次插入操作：

$stmt->execute();
if($stmt->execute()){
    header('location: index.php');
}

第一次执行已经完成了数据插入，第二次执行会重复插入相同数据，而且判断逻辑完全错位。应该只执行一次，并用变量接收执行结果：

$isExecuted = $stmt->execute();
if($isExecuted){
    header('location: index.php');
    exit; // 跳转后必须立即退出，避免后续代码继续执行
}

3. Session变量的语法错误 #

$_SESSION[id]这里缺少引号，PHP会把id当成未定义的常量解析，触发警告甚至错误，正确写法是：

$userid = $_SESSION['id'];

4. 参数检查逻辑不严谨 #

你用if($_GET['username'] and ...)判断参数是否存在，但如果参数值是空字符串、0这类“假值”时，会被误判为不存在。应该用isset()来检查参数是否存在，或者!empty()检查参数是否有效：

if(isset($_GET['username'], $_GET['time'], $_GET['quantity'], $_GET['image'], $_GET['uprice'])){
    // 后续业务逻辑
}

5. 安全性与错误处理建议 #

• 改用POST请求：订单数据属于敏感信息，用GET请求会把数据暴露在URL里，极易被篡改，建议表单改用POST提交，代码里对应使用$_POST。
• 添加错误捕获：可以通过PDO的异常捕获来快速定位问题，比如：

try {
    $stmt = $conn->prepare($stm);
    // 绑定参数...
    $isExecuted = $stmt->execute();
    if($isExecuted){
        header('location: index.php');
        exit;
    }
} catch(PDOException $e) {
    echo "执行失败: " . $e->getMessage();
}

修正后的完整代码 #

<?php
session_start();
require_once 'conn.php';

// 建议改成POST请求，这里先保留GET示例
if(isset($_GET['orderform'])){
    // 严谨检查参数是否存在
    if(isset($_GET['username'], $_GET['time'], $_GET['quantity'], $_GET['image'], $_GET['uprice'])){
        $x = $_GET['uprice'];
        $y = $_GET['quantity'];
        $total = $x * $y;
        $userid = $_SESSION['id']; // 修正Session变量语法
        $username = $_GET['username'];
        $quantity = $_GET['quantity'];
        $time = $_GET['time'];
        $image = $_GET['image'];
        $uprice = $_GET['uprice'];

        // 只赋值SQL语句给$stm，避免覆盖数据库连接
        $stm = "INSERT INTO `orders` (userid, username, quantity, timee, image, uprice, tprice) VALUES(:userid, :username, :quantity, :timee, :image, :uprice, :tprice)";
        
        try {
            $stmt = $conn->prepare($stm);
            $stmt->bindParam(':userid', $userid);
            $stmt->bindParam(':username', $username);
            $stmt->bindParam(':quantity', $quantity);
            $stmt->bindParam(':timee', $time);
            $stmt->bindParam(':image', $image);
            $stmt->bindParam(':uprice', $uprice);
            $stmt->bindParam(':tprice', $total);

            $isExecuted = $stmt->execute();
            if($isExecuted){
                header('location: index.php');
                exit; // 跳转后立即退出
            }
        } catch(PDOException $e) {
            echo "数据库操作失败: " . $e->getMessage();
        }
    }
}
?>

内容的提问来源于stack exchange，提问作者Monolica