如何简化用于检查用户ID存在性的MySQL查询语句

嘿，针对你这条检查用户ID存在性的查询，我来分享几个简化和优化的思路，既能让代码更清爽，还能补上安全性的漏洞！

一、简化重复的条件判断 #

原查询里对uid1到uid4的判断重复了四次相同的逻辑：既要不等于特定字符串，又要不为NULL。我们可以用COALESCE()函数把这两个条件合并成一句，让SQL更简洁：

COALESCE(uidX, '0000000000000.00000000') <> '0000000000000.00000000'

这个函数的作用是：如果uidX是NULL，就返回第二个参数（也就是那个全零的字符串），这样和目标字符串比较不等就会不成立，刚好等价于“uidX不为NULL且不等于目标字符串”的逻辑。

简化后的SQL语句就变成了：

SELECT * FROM levels 
WHERE COALESCE(uid1, '0000000000000.00000000') <> '0000000000000.00000000'
  AND COALESCE(uid2, '0000000000000.00000000') <> '0000000000000.00000000'
  AND COALESCE(uid3, '0000000000000.00000000') <> '0000000000000.00000000'
  AND COALESCE(uid4, '0000000000000.00000000') <> '0000000000000.00000000'
  AND level_unique_id = ?

二、紧急修复：替换废弃的mysql_query，防范SQL注入 #

你原来用的mysql_query函数在PHP里已经被废弃多年了，而且直接把$level_unique_id拼进SQL语句的做法存在严重的SQL注入风险，攻击者可以通过构造恶意值篡改你的查询逻辑。

推荐使用mysqli或者PDO的预处理语句来执行查询，下面给你两种常用的实现方式：

方式1：使用mysqli预处理 #

// 假设你已经有了mysqli连接对象$conn
$levelUniqueId = $level_unique_id;
$sql = "SELECT * FROM levels 
        WHERE COALESCE(uid1, '0000000000000.00000000') <> '0000000000000.00000000'
          AND COALESCE(uid2, '0000000000000.00000000') <> '0000000000000.00000000'
          AND COALESCE(uid3, '0000000000000.00000000') <> '0000000000000.00000000'
          AND COALESCE(uid4, '0000000000000.00000000') <> '0000000000000.00000000'
          AND level_unique_id = ?";

$stmt = $conn->prepare($sql);
$stmt->bind_param("s", $levelUniqueId); // "s"表示参数是字符串类型，根据实际类型调整
$stmt->execute();
$result = $stmt->get_result();
// 处理结果集
while ($row = $result->fetch_assoc()) {
    // 你的业务逻辑
}
$stmt->close();

方式2：使用PDO预处理 #

// 假设你已经有了PDO连接对象$pdo
$levelUniqueId = $level_unique_id;
$sql = "SELECT * FROM levels 
        WHERE COALESCE(uid1, '0000000000000.00000000') <> '0000000000000.00000000'
          AND COALESCE(uid2, '0000000000000.00000000') <> '0000000000000.00000000'
          AND COALESCE(uid3, '0000000000000.00000000') <> '0000000000000.00000000'
          AND COALESCE(uid4, '0000000000000.00000000') <> '0000000000000.00000000'
          AND level_unique_id = :level_unique_id";

$stmt = $pdo->prepare($sql);
$stmt->execute([':level_unique_id' => $levelUniqueId]);
// 处理结果集
while ($row = $stmt->fetch(PDO::FETCH_ASSOC)) {
    // 你的业务逻辑
}

额外小提示 #

如果那个全零的字符串是你用来表示“空用户ID”的默认值，其实更推荐直接用NULL来存储空值，这样查询条件可以进一步简化成uidX IS NOT NULL，既节省存储空间，逻辑也更清晰。

内容的提问来源于stack exchange，提问作者Iman Marashi