PHP中实现新分数高于当前分数时更新的SQL语句问题

我正在PHP环境里写SQL更新语句，虽然PHP经验不多但已经尝试自己写了。当前的语句是：

$query = "INSERT INTO scores VALUES ('$uid', '$name', '$score') ON DUPLICATE KEY UPDATE 'score' = '$score';";

我想加个条件——只有当新的$score大于当前数据库里的score时才执行更新。之前试过这么写，但好像不对：

$query = "INSERT INTO scores VALUES ('$uid', '$name', '$score') ON DUPLICATE KEY UPDATE 'score' = if('$score' > 'score', '$score', 'score');";

求正确的实现方法。

嘿，我来帮你搞定这个问题！你的思路是对的，但有两个小细节没处理好，导致逻辑失效：

• 字段名的引号问题：你给score字段加了单引号'score'，MySQL会把这个当成字符串字面量，而不是表中的字段。也就是说你的比较逻辑变成了「字符串$score和字符串score比大小」，这显然不是你想要的。字段名应该用反引号`score`（可选，只要字段名不是关键字）或者直接写score。
• SQL注入风险：虽然你现在先解决功能问题，但必须提一句——直接把PHP变量拼进SQL语句是非常不安全的，容易遭遇SQL注入攻击，后面我会给你规范的写法。

先解决你的核心需求：正确的SQL语句 #

首先要确保你的scores表中uid是唯一键（或者有联合唯一索引），这样ON DUPLICATE KEY才会触发更新逻辑。

正确的语句写法如下：

$query = "INSERT INTO scores (uid, name, score) 
          VALUES ('$uid', '$name', '$score') 
          ON DUPLICATE KEY UPDATE score = IF($score > score, $score, score);";

这里做了几个优化：

1. 明确指定了插入的字段列表（这是个好习惯，避免后续表结构变更时出现意外问题）
2. 去掉了字段名score的单引号，现在score指向数据库表中的字段，$score是你传入的新分数
3. IF函数的逻辑：当新分数$score大于当前字段score时，更新为新值；否则保持原字段值不变

更安全的写法：使用预处理语句（推荐） #

为了避免SQL注入，强烈建议使用PHP的预处理语句（mysqli或PDO都支持）。这里给你一个mysqli的示例：

// 假设你已经建立了mysqli连接，变量名为$conn
$query = "INSERT INTO scores (uid, name, score) 
          VALUES (?, ?, ?) 
          ON DUPLICATE KEY UPDATE score = IF(?, score, score);";

// 预处理语句
$stmt = $conn->prepare($query);
// 绑定参数："ssi"表示三个参数分别是字符串、字符串、整数（根据你的字段类型调整）
$stmt->bind_param("ssi", $uid, $name, $score, $score);
// 执行语句
$stmt->execute();

这种写法把变量和SQL逻辑分离，从根源上避免了SQL注入，也是专业开发中的标准做法。

内容的提问来源于stack exchange，提问作者user2598506