安全高效地更新数据库数值：使用PHP预处理语句实现增量更新

// 假设 $new_quantity 是要增加的数量，$in 是从数据库中读取的旧数量
// 错误示例：将字符串 '$new_quantity + $in' 传递给数据库
mysqli_query($connections, "UPDATE inv_tbl SET inhouse = '$new_quantity + $in' WHERE id = '$id'");

UPDATE inv_tbl SET inhouse = inhouse + [要增加的值] WHERE id = [记录ID];

UPDATE inv_tbl SET inhouse = inhouse + 5 WHERE id = 123;

<?php
include("../../connection.php"); // 假设 connection.php 包含数据库连接 $connections

if (isset($_POST['update'])) {
    // 从POST请求中获取数据
    $id = $_POST['id'];
    $quantity_to_add = $_POST['quantity'];

    // 1. 创建SQL预处理语句模板
    // 注意：inhouse = (inhouse + ?) 直接在数据库中进行加法运算
    $sql_statement = "UPDATE inv_tbl SET inhouse = (inhouse + ?) WHERE id = ?";

    // 检查数据库连接是否有效
    if (!$connections) {
        die("数据库连接失败: " . mysqli_connect_error());
    }

    // 2. 准备语句
    $stmt = $connections->prepare($sql_statement);

    // 检查语句是否准备成功
    if ($stmt === false) {
        die("SQL语句准备失败: " . $connections->error);
    }

    // 3. 绑定参数
    // "ii" 表示两个参数都是整数类型 (i = integer)
    // 绑定的顺序必须与SQL语句中的问号顺序一致
    $stmt->bind_param("ii", $quantity_to_add, $id);

    // 4. 执行语句
    if ($stmt->execute()) {
        // 记录操作日志（假设 addLog 函数已定义）
        addLog($connections, "Added a stock for ID: " . $id . ", quantity: " . $quantity_to_add);
        // 重定向用户
        header("Location: ../stocks.php");
        exit(); // 确保重定向后停止脚本执行
    } else {
        echo "更新失败: " . $stmt->error;
    }

    // 5. 关闭语句
    $stmt->close();
}
?>

<!-- 假设这是在一个循环中为每个库存项生成的表单 -->
<div class="modal fade" id="update<?php echo $id; ?>" tabindex="-1" role="dialog">
    <div class="modal-dialog modal-dialog-centered">
        <form method="POST" class="pt-3" action="stocks/update-query.php">
            <div class="modal-content">
                <div class="modal-header text-white">
                    <h5 class="modal-title"><strong>Add <?php echo $item; ?></strong></h5>
                </div>
                <div class="modal-body">
                    <div class="row form-group">
                        <div class="col-md-5">
                            <!-- 隐藏字段用于传递记录ID -->
                            <input type="hidden" name="id" value="<?php echo $id; ?>"/>
                            <label for="item" class="text-black"><strong>Item</strong></label>
                            <input class="form-control" type="text" name="item" value="<?php echo $item; ?>" disabled>
                        </div>
                        <div class="col-md-6">
                            <label for="quantity" class="text-black"><strong>Quantity to add:</strong></label>
                            <!-- 用户输入要增加的数量 -->
                            <input class="form-control" min="0" type="number" name="quantity" required>
                        </div>
                    </div>
                </div>
                <div class="modal-footer">
                    <button type="button" class="btn btn-secondary" data-bs-dismiss="modal">Close</button>
                    <button name="update" type="submit" class="btn btn-primary">Add</button>
                </div>
            </div>
        </form>
    </div>
</div>