MySQL UPDATE语句在MD5与PDO参数绑定中的陷阱与解决方案

include_once("../connections/db.inc.php"); // 假设这是数据库连接文件
if(isset($_POST['id'])) {
  try {
    $value = $_POST['value'];
    $column = $_POST['column'];
    $id = $_POST['id']; // 此处的 $id 可能是整数或MD5字符串

    // 问题症结所在的SQL语句和参数绑定
    $sql = "UPDATE `users` SET $column = :value WHERE md5(userId) = :id OR userId = :id LIMIT 1";
    $stmt = $db->prepare($sql);
    $stmt->bindParam(":id", $id, PDO::PARAM_INT); // 绑定为整数类型是主要问题
    $stmt->bindParam(":value", $value);

    if (!$stmt->execute()) {
      print_r($stmt->errorInfo());
    } else {
      echo "y"; // 表示成功
    }
  }
  catch (PDOException $e) {
    echo $e->getMessage();
  }
}

$id_input = $_POST['id'];
$is_int_id = filter_var($id_input, FILTER_VALIDATE_INT);
// MD5哈希是一个32位的十六进制字符串
$is_md5_id = preg_match('/^[a-f0-9]{32}$/i', $id_input);

include_once("../connections/db.inc.php"); // 确保数据库连接已建立

if (isset($_POST['id'])) {
    try {
        $value = $_POST['value'];
        $column = $_POST['column'];
        $id_input = $_POST['id'];

        $sql = "";
        $params = []; // 用于存储参数和其类型

        // 验证 $column 是否为允许更新的列，防止SQL注入
        $allowedColumns = ['userLevel', 'userName', /* ... 其他允许更新的列 */];
        if (!in_array($column, $allowedColumns)) {
            throw new Exception("Invalid column specified for update.");
        }

        // 尝试判断ID类型
        $is_int_id = filter_var($id_input, FILTER_VALIDATE_INT);
        $is_md5_id = preg_match('/^[a-f0-9]{32}$/i', $id_input);

        if ($is_int_id !== false) { // 如果是整数ID
            $sql = "UPDATE `users` SET `$column` = :value WHERE `userId` = :id_val LIMIT 1";
            $params[':id_val'] = [$is_int_id, PDO::PARAM_INT];
        } elseif ($is_md5_id) { // 如果是MD5哈希ID
            $sql = "UPDATE `users` SET `$column` = :value WHERE md5(`userId`) = :id_val LIMIT 1";
            $params[':id_val'] = [$id_input, PDO::PARAM_STR];
        } else {
            // 如果ID既不是整数也不是MD5哈希，则视为无效输入
            throw new Exception("Invalid ID format provided.");
        }

        if (!empty($sql)) {
            $stmt = $db->prepare($sql);

            // 绑定更新的值，根据实际数据类型选择PDO::PARAM_STR或PDO::PARAM_INT
            // 假设这里的 $value 通常是字符串，如果确定是数字，请使用PDO::PARAM_INT
            $stmt->bindParam(":value", $value, PDO::PARAM_STR); 

            // 绑定ID参数
            foreach ($params as $placeholder => $data) {
                $stmt->bindParam($placeholder, $data[0], $data[1]);
            }

            if (!$stmt->execute()) {
                print_r($stmt->errorInfo());
            } else {
                echo "y"; // 成功标记
            }
        } else {
            throw new Exception("Failed to construct a valid query.");
        }

    } catch (PDOException $e) {
        // 捕获数据库相关异常
        error_log("Database Error: " . $e->getMessage()); // 记录到错误日志
        echo "Database Error: " . $e->getMessage();
    } catch (Exception $e) {
        // 捕获应用逻辑异常
        error_log("Application Error: " . $e->getMessage()); // 记录到错误日志
        echo "Application Error: " . $e->getMessage();
    }
} else {
    echo "No ID provided.";
}