PHP数据库安全更新：实现数值累加与防范SQL注入

// 错误且不安全的示例
$new_quantity = $_POST['quantity'];
// ...
mysqli_query($connections, "UPDATE inv_tbl SET inhouse = '$new_quantity + $in' WHERE id = '$id'");

// connection.php 示例内容 (实际连接信息请替换为你的数据库配置)
<?php
$servername = "localhost";
$username = "your_username";
$password = "your_password";
$dbname = "your_database";

// 创建连接
$connections = new mysqli($servername, $username, $password, $dbname);

// 检查连接
if ($connections->connect_error) {
    die("连接失败: " . $connections->connect_error);
}
// 设置字符集
$connections->set_charset("utf8mb4");
?>

<?php
// 包含数据库连接文件
include("../../connection.php");

// 确保表单是通过 POST 方法提交且 'update' 按钮被点击
if (isset($_POST['update'])) {
    // 获取用户提交的 ID 和要添加的数量
    // 建议对输入进行基本的验证，例如确保它们是数字
    $id = (int)$_POST['id']; // 强制转换为整数
    $quantity_to_add = (int)$_POST['quantity']; // 强制转换为整数

    // 1. 准备SQL语句：使用 ? 作为参数占位符
    // 注意：inhouse = (inhouse + ?) 是正确的数据库累加方式
    $sql = "UPDATE inv_tbl SET inhouse = (inhouse + ?) WHERE id = ?";

    // 检查数据库连接是否有效，并尝试准备语句
    if ($stmt = $connections->prepare($sql)) {
        // 2. 绑定参数：
        // "ii" 表示两个参数都是整数类型。
        // i: integer (整数), s: string (字符串), d: double (浮点数), b: blob (二进制数据)
        // 绑定顺序必须与SQL语句中的占位符顺序一致
        $stmt->bind_param("ii", $quantity_to_add, $id);

        // 3. 执行语句
        if ($stmt->execute()) {
            // 记录日志 (如果 addLog 函数存在)
            // 确保 addLog 函数能够安全地处理连接对象和消息
            // addLog($connections, "Added a stock. ID: {$id}, Quantity Added: {$quantity_to_add}");

            // 执行成功后重定向到 stocks.php 页面
            header("location: ../stocks.php");
            exit(); // 确保重定向后终止脚本执行
        } else {
            // 执行失败处理
            error_log("Error executing statement: " . $stmt->error);
            echo "Error updating record: " . $stmt->error;
        }

        // 4. 关闭语句 (推荐，释放资源)
        $stmt->close();
    } else {
        // 准备语句失败处理
        error_log("Error preparing statement: " . $connections->error);
        echo "Error preparing statement: " . $connections->error;
    }
} else {
    // 如果不是通过 POST 提交或 'update' 按钮未点击，可以重定向或显示错误
    header("location: ../stocks.php"); // 或者显示一个错误页面
    exit();
}

// 关闭数据库连接 (在脚本结束时或不再需要时)
$connections->close();
?>

<!-- HTML 表单部分，用于提交 id 和 quantity -->
<!-- 这是一个模态框内的表单示例 -->
<div class="modal fade" id="update<?php echo $id; ?>" tabindex="-1" role="dialog">
    <div class="modal-dialog modal-dialog-centered">
        <form method="POST" class="pt-3" action="stocks/update-query.php">
            <div class="modal-content">
                <div class="modal-header text-white">
                    <h5 class="modal-title"><strong>Add item quantity</strong></h5>
                </div>
                <div class="modal-body">
                    <div class="row form-group">
                        <div class="col-md-5">
                            <!-- 隐藏字段用于传递记录的 ID -->
                            <input type="hidden" name="id" value="<?php echo $id; ?>"/>
                            <label for="item" class="text-black"><strong>Item</strong></label>
                            <input class="form-control" type="text" name="item" value="<?php echo $item; ?>" disabled>
                        </div>
                        <div class="col-md-6">
                            <label for="quantity" class="text-black"><strong>Quantity to add:</strong></label>
                            <!-- 用户输入要添加的数量 -->
                            <input class="form-control" min="0" type="number" name="quantity" required>
                        </div>
                    </div>
                </div>
                <div class="modal-footer">
                    <button type="button" class="btn btn-secondary" data-bs-dismiss="modal">Close</button>
                    <!-- 提交按钮，其 name 属性为 'update'，与 PHP 代码中的 ISSET($_POST['update']) 对应 -->
                    <button name="update" type="submit" class="btn btn-primary">Add</button>
                </div>
            </div>
        </form>
    </div>
</div>