MySQL SUM()函数失效求助：PHP7.2动态参数查询异常

嘿，我立马就发现你代码的问题啦！咱们一步步来解决：

核心问题：单引号不解析PHP变量 #

你第一段代码用硬编码的"117"能正常运行，但第二段把变量$ac_id放进单引号包裹的SQL语句里时，PHP不会解析单引号内的变量——也就是说SQL里的$ac_id就是字面字符串，不是你从POST获取到的实际值，数据库自然查不到结果。

临时修复（不推荐生产环境使用） #

如果只是临时测试，你可以把单引号换成双引号（PHP会解析双引号内的变量），或者用字符串拼接：

// 方式1：双引号包裹SQL语句
$ac_id = $_POST['ac_id'];
$add = mysqli_query($conn, "SELECT ac_id, SUM(amount) from stac where ac_id='$ac_id' ");
while($row1 = mysqli_fetch_array($add)) {
    $mark = $row1['SUM(amount)'];
    echo $mark ;
}

// 方式2：字符串拼接
$ac_id = $_POST['ac_id'];
$add = mysqli_query($conn, 'SELECT ac_id, SUM(amount) from stac where ac_id="' . $ac_id . '" ');
while($row1 = mysqli_fetch_array($add)) {
    $mark = $row1['SUM(amount)'];
    echo $mark ;
}

⚠️ 注意：这两种写法都存在严重的SQL注入风险，绝对不能用于线上生产环境！

推荐的安全解决方案：使用mysqli预处理语句 #

预处理语句是防止SQL注入的标准做法，同时也能避免变量解析的问题，代码如下：

$ac_id = $_POST['ac_id'];

// 1. 验证输入（可选但推荐，比如检查是否为合法ID）
if (empty($ac_id) || !is_numeric($ac_id)) {
    echo "无效的ID";
    exit;
}

// 2. 准备预处理SQL，用?作为占位符
$stmt = $conn->prepare("SELECT ac_id, SUM(amount) AS total_amount FROM stac WHERE ac_id = ?");

// 3. 绑定参数："i"表示参数是整数类型（如果ac_id是字符串就用"s"）
$stmt->bind_param("i", $ac_id);

// 4. 执行语句
$stmt->execute();

// 5. 获取查询结果
$result = $stmt->get_result();

// 6. 读取数据
if ($row = $result->fetch_assoc()) {
    // 这里用别名total_amount更清晰，避免依赖SUM(amount)的键名
    $mark = $row['total_amount'];
    echo $mark;
} else {
    echo "未找到对应记录";
}

// 7. 清理资源
$stmt->close();

为什么推荐这种写法？ #

• 彻底隔绝SQL注入风险：用户输入会被当作纯数据处理，不会被解析为SQL的一部分
• 代码可读性更高：用别名total_amount替代SUM(amount)，后续维护更方便
• 更严谨：增加了输入验证，避免无效请求

内容的提问来源于stack exchange，提问作者Shyful74