在 MySQL 的预处理语句中，不能直接在 bind_param() 中嵌入 SQL 子查询（如 SELECT credit FROM tokens...），必须将子查询移至 SQL 语句内部，并通过参数绑定传递外部变量。
在 mysql 的预处理语句中，不能直接在 `bind_param()` 中嵌入 sql 子查询（如 `select credit from tokens...`），必须将子查询移至 sql 语句内部，并通过参数绑定传递外部变量。
正确的做法是：将子查询作为 VALUES 或 SELECT 子句的一部分写入 SQL 字符串中，而非放在 PHP 的 bind_param() 参数列表里。你原代码的问题在于：
// ❌ 错误：子查询不能出现在 bind_param() 中
$stmt->bind_param('ssss', $payment->id, $dateApproved,
$payment->transaction_amount,
(SELECT credit from tokens WHERE token=$payment->external_reference LIMIT 1)); // 语法错误！PHP 不会执行此 SQLPHP 的 bind_param() 只接受 PHP 变量（标量或 NULL），不支持 SQL 表达式或子查询。该写法会导致 PHP 解析错误或 SQL 执行失败。
✅ 正确写法如下（推荐使用 INSERT ... SELECT 结构）：
$sql = "INSERT INTO `paylog` (`payment_id`, `date_approved`, `newcredit`, `before`)
SELECT ?, ?, ?, `credit`
FROM `tokens`
WHERE `token` = ?
LIMIT 1";
$stmt = $conn->prepare($sql);
$stmt->bind_param('ssis', $payment->id, $dateApproved, $payment->transaction_amount, $payment->external_reference);
$stmt->execute();
$stmt->close();? 关键说明：
- 使用
INSERT ... SELECT替代INSERT ... VALUES，使子查询逻辑由 MySQL 原生执行； - 所有
?占位符均对应bind_param()中的 PHP 变量，类型需严格匹配（此处s表示字符串，i表示整型；若credit是数值型，建议确认字段类型并调整绑定类型，如'ssis'中最后一个s可改为i或d）； -
LIMIT 1确保最多插入一行，避免因多匹配导致“Subquery returns more than 1 row”错误； - 若
tokens.token无匹配记录，则整条INSERT不生效（0 行影响），建议执行后检查$stmt->affected_rows并做业务兜底（如抛出异常或记录日志）。
? 进阶提示：若需确保 before 字段始终有默认值（例如当 tokens 中未找到对应 token 时设为 0），可改用 COALESCE：
INSERT INTO `paylog` (`payment_id`, `date_approved`, `newcredit`, `before`) SELECT ?, ?, ?, COALESCE((SELECT `credit` FROM `tokens` WHERE `token` = ?), 0)
但注意：此写法需用 VALUES 风格 + 标量子查询，且仍必须置于 SQL 内部，不可放入 bind_param()。
总结：永远记住——SQL 逻辑归 SQL，参数绑定归 PHP。将动态字段的获取逻辑完整封装进 SQL 语句，再通过安全的参数绑定传入变量，才是兼顾安全性与功能性的标准实践。
