本文详解 php+mysql 环境下“先查后插/更”逻辑引发重复数据的根本原因，并提供基于原子性操作（insert ... on duplicate key update）的安全替代方案，彻底规避竞态条件与 sql 注入风险。
本文详解 php+mysql 环境下“先查后插/更”逻辑引发重复数据的根本原因，并提供基于原子性操作（insert ... on duplicate key update）的安全替代方案，彻底规避竞态条件与 sql 注入风险。
你在 send_score.php 中采用的是典型的「检查-插入/更新」（Check-then-Act）模式：先用 sql_check_row() 查询是否存在某 unique_key，再决定执行 UPDATE 或 INSERT。这在高并发或多请求场景下必然导致重复插入——因为两次请求可能几乎同时通过检查（此时数据库中尚无该记录），随后各自执行 INSERT，最终写入两条完全相同的 unique_key 记录。
更严重的是，你当前代码存在双重安全漏洞：
✅ SQL 注入风险极高：所有用户输入（如 $_POST['unique_key']）未经预处理直接拼接进 SQL 字符串；
❌ 函数调用错误：sql_close() 内部调用了已废弃且不兼容的 mysql_close()（应为 mysqli_close()）；
⚠️ 逻辑缺陷：sql_check_row() 中 $value 未加引号或转义（如 '".$unique_key."' 在函数内又被拼接一次），极易造成语法错误或绕过检查。
✅ 正确解法：用一条原子 SQL 替代整个判断逻辑
MySQL 提供原生支持的 INSERT ... ON DUPLICATE KEY UPDATE 语句，它在一个原子操作中完成「尝试插入，冲突则更新」，从根本上消除竞态条件：
INSERT INTO xxx (unique_key, nick, sc)
VALUES (?, ?, ?)
ON DUPLICATE KEY UPDATE
nick = VALUES(nick),
sc = VALUES(sc);
要使该语句生效，必须确保 unique_key 字段已设置为 UNIQUE 或 PRIMARY KEY 索引（这是前提！请立即执行）：
ALTER TABLE xxx ADD UNIQUE KEY uk_unique_key (unique_key);
✅ 安全、简洁、可靠的 PHP 实现（使用预处理）
替换你原有的全部逻辑，仅需以下几行：
<?php header('Content-Type: text/plain');
header("Access-Control-Allow-Origin: *");
include "../../functions.php";
$servername = "xxx";
$database = "xxx";
$username = "xxx";
$password = "xxx";
$tabla = "xxx";
$unique_key = $_POST['unique_key'] ?? '';
$nick = $_POST['nick'] ?? '';
$puntos = (int)$_POST['puntos']; // 强制转整型防注入
// 使用 mysqli 面向对象方式 + 预处理（推荐）
$con = new mysqli($servername, $username, $password, $database);
if ($con->connect_error) {
die("Connection failed: " . $con->connect_error);
}
// 原子化插入或更新（要求 unique_key 列有 UNIQUE 约束）
$stmt = $con->prepare("INSERT INTO `$tabla` (unique_key, nick, sc) VALUES (?, ?, ?)
ON DUPLICATE KEY UPDATE nick = VALUES(nick), sc = VALUES(sc)");
$stmt->bind_param("sii", $unique_key, $nick, $puntos);
if ($stmt->execute()) {
echo $stmt->affected_rows === 1 ? "OK INSERT" : "OK UPDATE";
} else {
error_log("SQL Error: " . $stmt->error);
echo "ERROR";
}
$stmt->close();
$con->close();
?>
⚠️ 关键注意事项总结
-
索引是前提：
ON DUPLICATE KEY UPDATE仅对UNIQUE或PRIMARY KEY冲突生效，务必确认unique_key已建唯一索引； -
绝不拼接 SQL：永远使用预处理语句（
?占位符 +bind_param），杜绝 SQL 注入； -
避免自定义封装函数引入隐患：你原
sql_insert_row()手动拼接 SQL 极易出错，应交由 MySQLi/PDO 原生预处理处理； -
不要依赖 PHP 层缓存 ID 数组（如答案中建议的
in_array()方案）：它无法解决并发问题，且每次请求全表扫描性能极差，纯属错误方向； -
事务非必需但可选：本场景单条
INSERT ... ON DUPLICATE KEY UPDATE已是原子操作，无需额外事务包裹。
采用此方案后，无论多少并发请求同时提交相同 unique_key，数据库都将严格保证至多一条记录存在，且操作结果可通过 $stmt->affected_rows 准确区分（1=新插入，2=已存在并更新），真正实现数据一致性与高并发安全。
