PHP MySQL UPDATE 语句语法错误修复教程-php教程-PHP中文网

PHP MySQL UPDATE 语句语法错误修复教程

本文详解 mysqli_sql_exception 中“SQL syntax error near 'WHERE SET'”的成因与修复方法，重点纠正 UPDATE 语句中误写的 WHERE SET 错误结构，并提供安全、健壮的数据库操作实践。

本文详解 `mysqli_sql_exception` 中“sql syntax error near 'where set'”的成因与修复方法，重点纠正 `update` 语句中误写的 `where set` 错误结构，并提供安全、健壮的数据库操作实践。

在 PHP + MySQL（或 MariaDB）开发中，Fatal error: Uncaught mysqli_sql_exception: You have an error in your SQL syntax... near 'WHERE SET numb=...' 是一个典型且极易复现的语法错误。其根本原因在于 UPDATE 语句结构书写错误——您当前代码中写成了：

$querys = "UPDATE `prof` WHERE SET numb='$total' WHERE ID='$ID'";

该语句违反了 SQL 标准语法：UPDATE 后直接跟表名，接着是 SET 子句，最后才是可选的 WHERE 条件。而 WHERE SET 是完全非法的组合，MySQL 解析器会在 WHERE 处立即报错，导致整个查询失败。

✅ 正确的 UPDATE 语法格式为：

UPDATE 表名 SET 列名 = 值 [, 列名 = 值 ...] [WHERE 条件];

因此，应修正为：

$querys = "UPDATE `prof` SET numb = '$total' WHERE ID = '$ID'";

⚠️ 但仅修正语法仍远远不够。原始代码存在多个高危问题，需同步优化：

btpanel phpsite 宝塔面板PHP网站

宝塔面板 PHP 网站管理：站点创建、删除、启停、PHP 版本切换、域名管理、SSL证书管理、伪静态管理、数据库管理

下载

? 1. SQL 注入风险（严重！）

$ID 和 $add 直接拼接进 SQL 字符串，若用户控制输入（如伪造 session 或恶意 POST），将导致任意 SQL 执行。必须使用预处理语句（Prepared Statements）：

// ✅ 安全写法：UPDATE 使用预处理
$stmt = $conn->prepare("UPDATE `prof` SET numb = ? WHERE ID = ?");
$stmt->bind_param("ii", $total, $ID); // "ii" 表示两个整型参数
$stmt->execute();

同理，INSERT 也应改写：

$stmt = $conn->prepare("INSERT INTO `prof` (ID, numb) VALUES (?, ?)");
$stmt->bind_param("ii", $ID, $add);
$stmt->execute();

? 2. 数据类型与空值处理

确保 ID 和 numb 字段在数据库中为数值类型（如 INT），避免字符串比较失效；

$_POST['submit'] 可能为空或非数字，需校验：

$add = filter_input(INPUT_POST, 'submit', FILTER_VALIDATE_INT);
if ($add === false || $add === null) {
    die("无效的数值输入");
}

? 3. 其他关键改进点

移除冗余 mysqli_num_rows() 查询：可直接用 SELECT numb FROM prof WHERE ID = ? 获取值，若无结果则执行 INSERT，减少一次查询；
错误处理不可省略：生产环境务必检查 mysqli_query() 或 execute() 返回值；
重定向前禁止输出：确保 header() 调用前无任何 echo、空格或 BOM 字符；
会话与连接有效性验证：添加 if (!isset($_SESSION['ID'])) { ... } 和 if (!$conn) { ... } 防御性判断。

✅ 最终推荐重构片段（含安全与健壮性）

session_start();
include('info.php');

// 输入校验
$add = filter_input(INPUT_POST, 'submit', FILTER_VALIDATE_INT);
if ($add === false || $add === null) {
    die("提交数值无效");
}
$ID = $_SESSION['ID'] ?? null;
if (!$ID || !is_numeric($ID)) {
    die("用户会话异常");
}

// 使用预处理执行原子化操作
$stmt = $conn->prepare("SELECT numb FROM `prof` WHERE ID = ?");
$stmt->bind_param("i", $ID);
$stmt->execute();
$result = $stmt->get_result();

if ($result->num_rows > 0) {
    $row = $result->fetch_assoc();
    $total = (int)$row['numb'] + $add;
    $stmt = $conn->prepare("UPDATE `prof` SET numb = ? WHERE ID = ?");
    $stmt->bind_param("ii", $total, $ID);
} else {
    $stmt = $conn->prepare("INSERT INTO `prof` (ID, numb) VALUES (?, ?)");
    $stmt->bind_param("ii", $ID, $add);
}
$stmt->execute();

// 重定向（确保无输出）
header("Location: /web_2.1/profile.php");
exit;