PHP论坛点赞系统代码语法错误排查求助

嘿，我来帮你搞定这个棘手的语法错误，顺便纠正一个隐藏的安全隐患：

首先，你遇到的Parse error完全是因为PHP双引号字符串里的数组变量解析规则——当你在双引号里直接写$_SESSION['u_id']时，PHP会把$_SESSION['当成一个不完整的变量名，后面的内容就触发了语法错误。

不过更关键的是：你明明用了PDO的prepare()，却还是把变量直接拼进SQL里，这不仅白瞎了预处理语句防注入的功能，还容易踩语法坑。

错误代码的核心问题 #

• 双引号内数组变量写法错误：$_SESSION['u_id']在双引号中无法被正确解析，哪怕用{$_SESSION['u_id']}包裹也只是治标不治本的办法。
• 严重的SQL注入风险：$thread_id来自POST请求（用户完全可控），$_SESSION['u_id']也存在被篡改的可能，直接拼进SQL会让你的论坛面临注入攻击。

修正后的安全写法 #

<?php
session_start();
include_once 'dbh_discussion.inc.php';
$conn = db_discussion_connect();

// 先做基础校验，防止参数缺失导致的错误
if (!isset($_POST['upvote'], $_SESSION['u_id'])) {
    exit("缺少必要的请求参数，请检查操作");
}

$thread_id = $_POST['upvote'];
$user_id = $_SESSION['u_id'];

// 使用PDO预处理语句，通过命名占位符传递变量
$sql1 = $conn->prepare("SELECT * FROM users WHERE user_id = :user_id AND thread_id = :thread_id");
// 绑定参数，指定参数类型（比如INT）能进一步提升安全性
$sql1->bindParam(':user_id', $user_id, PDO::PARAM_INT);
$sql1->bindParam(':thread_id', $thread_id, PDO::PARAM_INT);
// 执行查询
$sql1->execute();

// 后续可以处理查询结果，比如获取用户点赞记录
$vote_record = $sql1->fetch(PDO::FETCH_ASSOC);

为什么这么改？ #

1. 彻底解决语法错误：用参数绑定代替字符串拼接，完全避开了双引号内的变量解析问题。
2. 杜绝SQL注入：PDO的参数绑定会自动处理变量的转义，确保用户输入不会被当作SQL指令执行。
3. 增加鲁棒性：提前校验参数是否存在，避免因为空值导致的后续数据库操作错误。

内容的提问来源于stack exchange，提问作者Willem van der Spek