MS SQL+PHP实现存在则更新counter+1、不存在则插入问题排查

嘿，我来帮你看看这段代码的问题哈，几个小细节没处理好导致逻辑失效了，咱们一步步来修复：

1. SQL语句语法错误 #

你的INSERT语句里，字段列表(city, datedata,)多了一个多余的逗号，这会直接导致数据库报错，SQL根本执行不了。另外，你插入时没给counter字段赋值——如果这个字段没有设置默认值，插入操作也会失败，毕竟新记录的计数初始值应该是1对吧？

2. 缺少唯一键约束，ON DUPLICATE KEY UPDATE无法触发 #

ON DUPLICATE KEY UPDATE的核心逻辑是：当插入的记录违反主键或唯一键约束时，才会触发更新操作。你的Statistic表目前没有设置这样的约束，所以就算插入相同的city和datedata，数据库只会当成新记录插入，完全不会触发更新逻辑。

3. 存在严重的SQL注入风险 #

直接把$_GET['city']拼接到SQL语句里，相当于给黑客敞开了大门，很容易被利用进行SQL注入攻击，这是绝对要避免的。

4. 没有错误排查逻辑 #

你的代码里完全没判断sqlsrv_query是否执行成功，出问题时你根本不知道具体是哪里错了，排查起来会很头疼。

第一步：先给表添加复合唯一键 #

先在数据库管理工具里执行这条SQL，给city和datedata组合设置唯一约束：

ALTER TABLE Statistic ADD UNIQUE KEY idx_city_date (city, datedata);

这样当相同的city+datedata组合插入时，就会触发ON DUPLICATE KEY UPDATE逻辑。

第二步：修复后的PHP代码 #

<?php
$gotCity = $_GET['city'];
// 先校验参数合法性，避免空值或非法输入
if (empty($gotCity)) {
    die("City parameter is required");
}

date_default_timezone_set('Europe/Paris');
$datetime_variable = new DateTime();
$currentdate = $datetime_variable->format('Y-m-d');

// 使用参数化查询，彻底避免SQL注入
$tsql = "INSERT INTO Statistic (city, datedata, counter) 
         VALUES (?, ?, 1) 
         ON DUPLICATE KEY UPDATE counter = counter + 1";

// 准备参数数组
$params = array($gotCity, $currentdate);

// 执行查询并添加错误处理
$getResults2 = sqlsrv_query($conn, $tsql, $params);
if ($getResults2 === false) {
    die(print_r(sqlsrv_errors(), true));
}

sqlsrv_close($conn);
?>

修复点说明： #

• 去掉了SQL语句里多余的逗号，插入时给counter设初始值为1
• 改用参数化查询，把变量通过安全的方式传递给SQL，杜绝注入风险
• 添加了参数校验，确保city参数不为空
• 加入错误处理逻辑，查询失败时会打印具体错误信息，方便排查问题
• 配合表的复合唯一键，确保相同city+datedata的记录只会存在一条，触发更新逻辑

内容的提问来源于stack exchange，提问作者Human Khoo