1. 
   Seu código é vulnerável à injeção de SQL.
   
2. 
   Você está usando uma API obsoleta que não oferece suporte a instruções preparadas para evitar injeção de SQL
   
3. 
   Você pode combinar seu UPDATE e SELECT em uma única declaração. Aqui está uma ideia
   
4. 
   Sua dedução deve ser baseada em banco de dados, não baseada em valor
   
   UPDATE tbl UPDATE col = col - 1