本文解析 PHP+MySQL 环境下因竞态条件与 SQL 注入风险导致的重复插入问题，指出 SELECT + INSERT/UPDATE 非原子操作的根本缺陷，并推荐使用 INSERT ... ON DUPLICATE KEY UPDATE 或 REPLACE INTO 等原子方案替代手工判断逻辑。
本文解析 php+mysql 环境下因竞态条件与 sql 注入风险导致的重复插入问题，指出 `select + insert/update` 非原子操作的根本缺陷，并推荐使用 `insert ... on duplicate key update` 或 `replace into` 等原子方案替代手工判断逻辑。
你在 send_score.php 中采用「先查后更」（check-then-act）逻辑看似合理：先用 sql_check_row() 查询 unique_key 是否存在，再决定执行 UPDATE 或 INSERT。但现实是——该逻辑在并发场景下天然不安全，且代码中存在多个严重隐患，直接导致重复行产生。
? 根本原因分析
-
竞态条件（Race Condition）
SELECT和后续INSERT/UPDATE是两条独立 SQL 语句，中间存在时间窗口。若两个请求几乎同时执行：- 请求 A 查到
unique_key不存在 → 进入INSERT分支； - 请求 B 在 A 执行
INSERT前也查到不存在 → 同样执行INSERT；
→ 结果：两条完全相同的unique_key被插入。
- 请求 A 查到
-
unique_key字段未设数据库约束
即使业务逻辑希望其唯一，若表结构中未定义UNIQUE INDEX或PRIMARY KEY，MySQL 不会阻止重复插入。请立即验证：SHOW CREATE TABLE your_table_name;
若无
UNIQUE KEY unique_key (unique_key)，请立即添加：ALTER TABLE your_table_name ADD UNIQUE KEY uk_unique_key (unique_key);
SQL 注入漏洞 & 类型错误
sql_check_row()中拼接$value时未转义，且字符串值未加引号（如'".$unique_key."'在函数调用时被传为"unique_key"，但函数内却直接拼入 SQL：WHERE unique_key = ".$value→ 实际变成WHERE unique_key = 'abc'✅，但若$value是数字则可能出错；更严重的是，sql_update_row()和sql_insert_row()全部使用字符串拼接，极易被恶意输入利用（如unique_key=abc'; DROP TABLE users; --）。-
mysql_close()函数误用
你的sql_close()调用了已废弃的mysql_close()（属于旧mysql_*扩展），而连接实际由mysqli_connect()创建。应改为：function sql_close($con) { return mysqli_close($con); // ✅ 正确 }
✅ 推荐解决方案：使用原子化 SQL 操作
放弃「查→判→插/更」三步法，改用 MySQL 原生支持的单语句原子操作：
方案一：INSERT ... ON DUPLICATE KEY UPDATE（推荐）
// 替换原有逻辑，一行解决
$sql = "INSERT INTO {$tabla} (unique_key, nick, sc) VALUES (?, ?, ?)
ON DUPLICATE KEY UPDATE nick = VALUES(nick), sc = VALUES(sc)";
$stmt = mysqli_prepare($con, $sql);
mysqli_stmt_bind_param($stmt, "ssi", $unique_key, $nick, $puntos);
$result = mysqli_stmt_execute($stmt);
if ($result) {
$affected = mysqli_stmt_affected_rows($stmt);
echo $affected === 1 ? "OK INSERT" : "OK UPDATE";
} else {
echo "SQL ERROR: " . mysqli_error($con);
}
✅ 优势：
- 原子执行，彻底规避竞态；
- 自动利用
UNIQUE KEY约束触发更新； - 预处理语句防御 SQL 注入；
-
VALUES(col)语法确保更新值与插入值一致。
方案二：REPLACE INTO（兼容性更强）
$sql = "REPLACE INTO {$tabla} (unique_key, nick, sc) VALUES (?, ?, ?)";
$stmt = mysqli_prepare($con, $sql);
mysqli_stmt_bind_param($stmt, "ssi", $unique_key, $nick, $puntos);
$result = mysqli_stmt_execute($stmt);
⚠️ 注意：REPLACE 实质是「删+插」，若存在外键或触发器需谨慎。
?️ 必做加固措施
-
强制添加唯一索引（不可跳过）：
ALTER TABLE xxx ADD UNIQUE INDEX idx_unique_key (unique_key);
-
禁用所有字符串拼接 SQL，全面迁移至
mysqli_prepare()+bind_param()； -
移除所有自定义封装函数（如
sql_check_row），它们掩盖了底层风险且无法保证原子性； -
启用错误报告 开发阶段加入：
mysqli_report(MYSQLI_REPORT_ERROR | MYSQLI_REPORT_STRICT);
总结
重复行不是“代码逻辑没写对”，而是在缺乏数据库约束的前提下，用非原子操作模拟原子行为必然失败。真正的健壮性来自数据库层的强制约束（UNIQUE）与服务层的原子语句（ON DUPLICATE KEY UPDATE）协同。别再用 PHP 做 MySQL 该做的事——让数据库守好唯一性大门，PHP 只管高效传递指令。
