用户添加话题时实现数据库punten字段积分累加的技术问询

咱们来一步步拆解你这段代码里的问题，很多地方都存在逻辑或语法上的错误，得好好调整下：

一、函数参数完全不匹配 #

你定义的update_points函数只接受两个参数：$tabel和$query，但在调用的时候却传了三个参数：'klanten'、$_SESSION['klant_id']、$query。这会导致函数里的$query实际上接收到的是$_SESSION['klant_id']的值，而你真正要传的积分参数直接被忽略了，这是最基础的参数传递错误。

二、SQL语句语法彻底错误 #

看你函数里的SQL拼接逻辑：当你传$query['punten'] = 10时，循环会生成字符串`punten` = '10'，然后拼到SQL里就变成了：

UPDATE klanten SET punten = punten + `punten` = '10' LIMIT 1

这完全不符合SQL语法，数据库根本无法执行这条语句，会直接报错。你的思路是想让积分增加指定数值，但拼接方式完全走错了方向。

三、缺少WHERE条件，会错误更新无关用户的积分 #

你的函数里没有指定要更新的用户ID，只用了LIMIT 1，这会导致数据库更新表中的第一条数据，而不是你想要的当前登录用户（$_SESSION['klant_id']对应的用户）。这会造成严重的业务错误，比如随便改了别人的积分。

四、SQL注入风险极高 #

你用str_replace转义单引号的方式非常不安全，这种手动转义的方法很容易被绕过，无法有效防止SQL注入攻击。正确的做法是使用参数化查询，让数据库来处理参数的安全绑定。

给你修正后的实现示例 #

修正后的update_points函数

public function update_points($table, $userId, $pointsToAdd) {
    // 用参数化查询构建SQL，明确指定更新条件和积分增量
    $sql = "UPDATE {$table} SET punten = punten + ? WHERE klant_id = ?";
    // 准备语句（假设你的database对象支持PDO或mysqli的prepare方法）
    $stmt = $this->database->prepare($sql);
    // 绑定参数，这里假设klant_id和pointsToAdd都是整数类型
    $stmt->bind_param("ii", $pointsToAdd, $userId);
    // 执行语句
    $stmt->execute();
}

修正后的调用代码

if(isset($_POST['react_btn'])){
    $pointsToAdd = 10;
    // 现在参数数量和函数定义匹配，明确传递表名、用户ID、要增加的积分
    $app->update_points('klanten', $_SESSION['klant_id'], $pointsToAdd);
}

修正的核心点说明 #

1. 让函数参数和调用完全匹配，明确传递用户ID和要增加的积分值
2. SQL语句直接使用punten = punten + ?来实现积分累加，语法正确
3. 添加WHERE klant_id = ?条件，确保只更新指定用户的积分
4. 使用参数化查询（prepare + bind_param）彻底避免SQL注入风险

内容的提问来源于stack exchange，提问作者PlsHelpMeTY