如何在 PHP 中根据数据库值动态计算并设置用户等级变量

本文讲解如何正确从数据库读取用户经验值（userexp），依据预设等级规则计算对应等级（userlvl），并安全地更新会话与数据库，避免因执行顺序、变量初始化或 SQL 注入导致的逻辑失效。

在 PHP 的 Web 开发里，根据数据库里存的用户经验值（userexp）来实时算等级（userlvl），是个非常常见的需求。不过，好些朋友在这个环节上栽过跟头，最常见的坑就是：变量还没从数据库读出来，就直接给赋了个默认值；等级判断逻辑跑在了数据库操作前面；SQL 语句写了但没执行；连基本的错误处理和防注入措施都没到位。结果就是，不管数据库里 userexp 是多少，$_SESSION['userlvl'] 永远都是 1，搞得人一头雾水。

下面这套方案，就是经过验证、安全又容易维护的，直接照着用就行。

正确流程：查 → 算 → 存 → 用

connect_error) {
    die("数据库连接失败: " . $conn->connect_error);
}
$conn->set_charset("utf8mb4"); // 防止中文/特殊字符问题

// 2. 从数据库获取当前用户的 userexp（务必使用预处理语句防止 SQL 注入）
if (!isset($_SESSION['userid'])) {
    die("用户未登录");
}
$stmt = $conn->prepare("SELECT userexp FROM users WHERE userid = ?");
$stmt->bind_param("i", $_SESSION['userid']);
$stmt->execute();
$result = $stmt->get_result();
if ($result->num_rows === 0) {
    die("用户不存在");
}
$userData = $result->fetch_assoc();
$userexp = (int)$userData['userexp'];

// 3. 根据经验值计算等级（优化：使用降序数组 + 循环，比长 if-else 更清晰可维护）
$levelThresholds = [
    [27586350412, 50],
    [22069080330, 50], // 注意：此值 < 上一项，逻辑需校验 —— 实际应为升序或去重合并
    [20434333639, 49],
    [18920679295, 48],
    [17519147496, 47],
    // ... 其他阈值（此处省略，按实际完整列表填充）
    [5, 1],
];
$userlvl = 1; // 默认最低等级
foreach ($levelThresholds as $threshold) {
    if ($userexp >= $threshold[0]) {
        $userlvl = $threshold[1];
        break;
    }
}

// 4. 同步更新数据库（可选，但推荐：确保 DB 与会话状态一致）
$stmt = $conn->prepare("UPDATE users SET userlevel = ? WHERE userid = ?");
$stmt->bind_param("ii", $userlvl, $_SESSION['userid']);
$stmt->execute();

// 5. 更新会话变量，供后续页面使用
$_SESSION['userlvl'] = $userlvl;
$_SESSION['userexp'] = $userexp;

// 6. 关闭连接
$stmt->close();
$conn->close();
?>

关键注意事项

• 绝对不要硬编码 SQL 拼接：像原始代码里那种 `$query = ("SELECT * FROM users WHERE userexp='$userexp'")`，不仅给了 SQL 注入可乘之机，而且逻辑本身也是错的——此时 `$userexp` 压根还没从数据库里取出来。必须用 `prepare()` + `bind_param()`。
• 执行顺序是关键中的关键：一定是先 SELECT 拿到真实数据，再计算等级，最后才是 UPDATE 和往 $_SESSION 里写。原始代码把 `$userexp = 0` 放查询前面，那所有判断自然都基于 0 了。
• 等级阈值建议重构：原始那 50 多层 if-else 不光看着头疼，改起来也容易出错。更专业的做法是用关联数组，或者干脆在数据库里建个 `level_rules(threshold, level)` 表，灵活得多。
• 类型强制转换要跟上：`$userexp = (int)$userData['userexp']` 这一步不能省，能避免字符串比较带来的各种幺蛾子（比如 '100' 和 '20' 比大小结果完全不对）。
• 会话与数据库保持双写一致性：更新 $_SESSION 的同时，也顺带把数据库里的字段（比如 userlevel）更新了，这样就算会话过期，下次重登等级信息也还在。

最终使用（在 HTML 中）

LVL: 

提示：`htmlspecialchars()` 是为了防 XSS。要是对安全要求更严格，还可以加个整数校验，比如 `is_int($_SESSION['userlvl']) && $_SESSION['userlvl'] >= 1`。

按照这套结构来走，你的等级系统就会变得健壮、安全、好调试，也方便以后扩展。不管是加等级徽章、做权限控制，都有了扎实的底子。