如何修改PHP脚本，实现TXT文件数值校验后的运算执行？

没问题，我来帮你完成这个需求，同时会补上关键的安全校验逻辑——毕竟直接使用用户输入构造文件路径和数值操作，很容易被恶意利用。下面是完整的可运行代码，之后我会逐部分解释细节：

<?php
// 1. 校验并获取必要的输入参数
if (!isset($_GET['username'], $_GET['amount'])) {
    die("缺少必要的请求参数");
}

$username = strtolower($_GET['username']);
$amount = $_GET['amount'];

// 校验用户名格式：仅允许字母、数字、下划线，防止目录遍历攻击
if (!preg_match('/^[a-z0-9_]+$/', $username)) {
    die("用户名格式无效，请使用字母、数字或下划线");
}

// 校验金额：必须是正的数字（支持整数和小数）
if (!is_numeric($amount) || $amount <= 0) {
    die("金额必须是大于0的有效数字");
}
// 转换为浮点型，确保小数比较的准确性
$amount = (float)$amount;

// 2. 构建安全的文件路径（推荐将用户文件放在单独的子目录，比如data/）
// __DIR__ 代表当前脚本所在的绝对目录，避免相对路径带来的安全风险
$filePath = __DIR__ . '/data/' . $username . '.txt';

// 如果暂时不想用子目录，至少用绝对路径限制在当前目录：
// $filePath = __DIR__ . '/' . $username . '.txt';

// 3. 检查文件是否存在且可读
if (!file_exists($filePath) || !is_readable($filePath)) {
    die("未找到对应用户的记录文件");
}

// 4. 读取并解析文件中的数值
$currentBalance = trim(file_get_contents($filePath));
// 校验文件内容是否为有效数字
if (!is_numeric($currentBalance)) {
    die("用户记录文件格式错误");
}
$currentBalance = (float)$currentBalance;

// 5. 判断余额是否足够，执行对应操作
if ($currentBalance >= $amount) {
    // 计算新余额
    $newBalance = $currentBalance - $amount;
    // 将新余额写回文件
    if (file_put_contents($filePath, $newBalance) === false) {
        die("更新余额失败，请检查文件权限");
    }
    echo "操作成功！当前余额：{$newBalance}";
} else {
    echo "余额不足！当前余额：{$currentBalance}，所需金额：{$amount}";
}
?>

关键细节解释 #

• 输入安全校验：

  • 对username做正则校验，只允许合法字符，彻底避免攻击者通过../../etc/passwd这类恶意输入读取服务器上的其他敏感文件（目录遍历攻击）。
  • 对amount校验确保是正数字，防止负数、字符串等非法输入导致的逻辑错误。

• 文件路径安全：
  使用__DIR__获取脚本的绝对目录，配合子目录（比如data/），把所有用户文件限制在指定范围内，进一步降低安全风险。

• 数值准确性：
  将文件内容和amount都转换为float类型，确保小数场景下的比较准确（比如你例子中的6.05和7，能正确判断余额不足）。

• 异常处理：
  加入了文件存在性、可读性、可写性的检查，避免出现致命错误，同时给用户明确的提示信息。

生产环境建议 #

• 尽量使用数据库（比如MySQL、SQLite）替代文本文件存储余额数据，文本文件在并发请求场景下容易出现数据覆盖、读写冲突的问题。
• 给存储用户文件的目录设置严格的权限：比如仅允许web服务器用户拥有读写权限，其他用户无访问权限。
• 如果需要更高的安全性，可以对用户名做哈希处理后再作为文件名，避免直接暴露用户名。

内容的提问来源于stack exchange，提问作者user9151888