php - 将订单 ID 分配给其产品

Question

我需要单独存储客户购买的产品，并使用一个名为 order_id 的主键来了解产品属于哪个订单。
我在一张表中存储订单，在另一张表中存储购买的产品。
我的 orders 表结构是:

order_id (PRIMARY KEY),
customer_id,
customer_name,
order_price,
order_date

我的purchased_products表结构是:

order_id (FOREIGN KEY with REFERENCES orders(order_id)),
product_name,
product_price,
quantity

工作原理
当有人买东西时，我运行此代码来存储所有数据:

try
{
    $connection = new PDO("mysql:host={$HOST};dbname={$DB_NAME}", $USERNAME, $PASS);
}

$connection->beginTransaction();
$sql = "INSERT INTO orders (customer_id, customer_name, order_price, order_date)
        VALUES (?, ?, ?, ?)";

$query = $connection->prepare($sql);
$query->execute(array
(
    $user_id,
    $user['user_name'],
    $order_price,
    $date
));

$id_of_respective_order = $connection->lastInsertId();

$sql = "INSERT INTO purchased_products (order_id, product_name, product_price, quantity)
        VALUES (?, ?, ?, ?)";

$query = $connection->prepare($sql);

foreach($_SESSION['cart'] as $product)
{
    $query->execute(array
    (
        $id_of_respective_order,
        $product['product_name'],
        $product['product_price'],
        $product['quantity']
    ));
}

$connection->commit();

通过此逻辑，我锁定表，然后插入订单，并且为了将正确的订单 ID 分配给属于它的产品，我使用 PDO lastInsertId。在我可以使用以下命令进行查询后:

SELECT * FROM orders c, purchased_products pc WHERE c.customer_id LIKE {$user_id} AND pc.order_id = c.order_id ORDER BY c.order_id DESC

我的问题是:

1. 这个方法100%安全吗？如果没有，该怎么办？

2. 如果同时购买的客户太多，表会被锁定，但所有数据都会正确、逐一、按顺序插入，等待上一个订单或在有人数据插入时购买的用户收到错误并需要稍后尝试完成他的订单？

3. 如果同时购买的顾客太多，是否会出现商品分配错误的订单ID的情况？

我感谢您的关注，我非常希望收到一个具体的答案，消除我所有的疑虑，并向我保证我可以安静地使用这种方法，而不必担心。

Answer 1

1. Is this method 100% secure? If not, what to do?

从 SQL 注入(inject) POV 来看，至少您可以通过使用绑定(bind)参数来阻止一种方式。不过，我仍然建议使用手动预检查。黄金法则是:永远不要相信任何用户输入，我在您的代码中没有看到这些输入，但我认为确实如此。

2. If too many customers buy at the same time the table will be locked but all data will be inserted correctly, one-by-one, in sequence, waiting for the previous order or the user that purchased when someone data is being inserted will receive an error and will be required to try finish his order later?

在MySQL中，这取决于存储引擎和事务隔离级别，但通常事务可能并行运行，因此“一对一，按顺序”不适用。 DBMS 级别不会出现错误，但是如果产品表中有库存字段，则可能会丢失更新。购买同一产品的两个(甚至更多!)用户可以独立更新库存，而一个人不知道另一个人。结果范围从负库存到库存与数量不一致。我们之前经历过这个，需要使用应用程序级事务锁定来解决它。不过，如果你没有它，你应该是安全的。

3. If too many customers buy at the same time, is there any chance of the products being assigned with the wrong order ID?

您使用交易来保护它，所以不。