如何正确检查数据库库存并避免PHP中常见的SQL查询与响应逻辑错误-php教程-PHP中文网

如何正确检查数据库库存并避免PHP中常见的SQL查询与响应逻辑错误

本文详解如何修复旅行预订系统中因未正确处理mysql查询结果而导致的误报“目的地不可用”问题，涵盖结果集提取、sql注入防护及前端响应完整性优化。

本文详解如何修复旅行预订系统中因未正确处理mysql查询结果而导致的误报“目的地不可用”问题，涵盖结果集提取、sql注入防护及前端响应完整性优化。

在您提供的PHP脚本中，核心逻辑缺陷在于：mysqli_query() 返回的是一个 结果集对象（mysqli_result），而非可用的数值；而您却直接用 $res > 0 和 $res

✅ 正确做法：获取并验证实际库存值

必须先执行查询，再显式提取数据（如 fetch_assoc()），才能获得 n_package 的真实数值：

btpanel phpsite 宝塔面板PHP网站

宝塔面板 PHP 网站管理：站点创建、删除、启停、PHP 版本切换、域名管理、SSL证书管理、伪静态管理、数据库管理

下载

// ✅ 使用预处理语句防止SQL注入（强烈推荐）
$request1 = "SELECT n_package FROM destination WHERE country = ?";
$stmt = $connection->prepare($request1);
$stmt->bind_param("s", $location);
$stmt->execute();
$result = $stmt->get_result();

if ($result->num_rows === 0) {
    // 该国家不存在于destination表中
    echo '<script>alert("' . $msg3 . '");</script>';
} else {
    $row = $result->fetch_assoc();
    $available = (int)$row['n_package'];

    if ($available alert("' . $msg3 . '");';
    } else {
        // ✅ 库存充足：执行扣减
        $update = "UPDATE destination SET n_package = n_package - 1 WHERE country = ?";
        $stmt2 = $connection->prepare($update);
        $stmt2->bind_param("s", $location);
        $stmt2->execute();
        echo '<script>alert("' . $msg2 . '");</script>';
    }
}

⚠️ 关键注意事项

绝不拼接用户输入到SQL中：原始代码中 $location 直接嵌入查询字符串，极易遭受SQL注入攻击（例如输入 'Italy'; DROP TABLE destination; --）。预处理语句（prepare + bind_param）是标准防御方案。
空字段校验应独立于数据库操作：建议在查询前完成全部表单验证，避免无效请求触达数据库。
JavaScript弹窗不能替代完整页面响应：仅输出 <script>alert(...)</script> 会导致浏览器收到不完整HTML（无DOCTYPE、html、body等），可能引发渲染异常或安全策略拦截。生产环境应配合重定向（如 header('Location: success.php')）或返回结构化JSON供AJAX处理。
添加错误处理：对 mysqli_connect()、prepare()、execute() 等关键操作添加 if (!$stmt) 判断，并启用 mysqli_report(MYSQLI_REPORT_ERROR | MYSQLI_REPORT_STRICT) 全局捕获异常。