带括号的PDO更新查询

Question

我想执行这样的查询：

UPDATE users SET online_time = (online_time + 50) WHERE ID = 1

我有一个问题，因为online_time不会更新，而是由0代替。在mysqli中，一切正常。 这是我的数据库类中更新功能的代码（来自互联网，而不是我的工作）：

public function update($table, $data, $where)
{
    ksort($data);

    $fieldDetails = null;
    foreach($data as $key => $value){
        $fieldDetails .= "$key=:$key, ";
    }
    $fieldDetails = rtrim($fieldDetails, ', ');

    $sth = $this->prepare("UPDATE $table SET $fieldDetails WHERE $where");

    foreach ($data as $key => $value){
        $sth->bindValue(":$key", $value);
    }
    $sth->execute();
}

和我试图运行的代码：

$set = ['online_time' => "(online_time + $t)"];
$where = 'ID = '. $id;
$this->db->update('users', $set, $where);

更新功能可能出了点问题，但我不知道：/

Answer 1

您的更新功能的第一个也是最重要的问题是它很容易被SQL注入 。

是的，它不适合使用这样的复杂表达式进行更新。

因此，对于此特定查询，只需避免使用此函数，而仅运行原始的预处理语句

$sth = $db->prepare("UPDATE users SET online_time = online_time + ? WHERE ID = ?");
$sth->execute([$t, $id]);