Question

我发现很多答案对我来说似乎不起作用。当我在变量$ message和$ email以及$ date（如

）周围有撇号时

    'VALUES ('$message', '$email', '$date')';

它告诉我

解析错误：语法错误，意外＆＃39; $ message＆＃39; （T_VARIABLE）

当我删除它们时，我会收到类似无法输入数据的信息：未知列＆＃39; $ message＆＃39;在＆＃39;字段列表＆＃39;。我试图插入

    $message = mysql_real_escape_string($message);    
    $email = mysql_real_escape_string($email);
    $date = mysql_real_escape_string($date);

与＆＃34; ＆＃34;围绕像

这样的变量

'VALUES ("$message", "$email", "$date")';

摆脱了错误信息，但现在，而不是来自html表单的输入，我得到字面意思＆＃34; $ message＆＃34;在我的数据库中。

我做错了什么？我的简单目标只是收集电子邮件，消息和日期，并将其放入数据库中。请帮忙！谢谢！

以下是我的完整代码：

     <?php
if($_POST && isset($_POST['email'], $_POST['essay'])) {


    $dbhost = 'localhost';
    $dbuser = 'root';
    $dbpass = 'password';

    $conn=mysql_connect($dbhost, $dbuser);
    if(! $conn)
    {
        die('Could not connect: ' . mysql_error());
    }

    mysql_select_db("Ink", $conn);

    date_default_timezone_set("America/New_York");
    $message = $_POST['essay'];
    $email = $_POST['email'];
    $date = date("y-m-d h:i:sa");


    $sql = 'INSERT INTO inktable '.
            '(writings, email, date) '.
            'VALUES ('$message', '$email', '$date')';

    mysql_select_db('ink');
    $retval = mysql_query($sql, $conn);
    if(! $retval)
    {
        die('Could not enter data: ' .mysql_error());
    }

    mysql_close($conn);
}
?>

Answer 1

我认为你需要那些小点：

  ('.$message.', '.$email.', '.$date.')';

或者：

 ("'.$message.'", "'.$email.'", "'.$date.'")';

Answer 2

此外，最好使用PDO，作为最小化问题的最简单方法我认为;）使用预准备语句，您可以最大限度地降低SQL注入的风险，正如 Biffen 所说。

http://php.net/manual/en/ref.pdo-mysql.php

例如，您的代码包含PDO：

<?php

if($_POST && isset($_POST['email'], $_POST['essay'])) {

$dbhost = 'localhost';
$dbuser = 'root';
$dbpass = 'password';
$dbname = 'Ink';

date_default_timezone_set("America/New_York");

try {
// Try to connect
    $dbh = new PDO('mysql:host='.$dbhost.';dbname='.$dbname, $dbuser, $dbpass);

// Data 
    $message = $_POST['essay'];
    $email = $_POST['email'];
    $date = date("y-m-d h:i:sa");

// query
    $sql = "INSERT INTO inktable (message,email,date) VALUES (:message,:email,:date)";
    $q = $dbh->prepare($sql);
    $q->execute(array(':message'=>$message,
                      ':email'=>$email,
                      ':date'=>$date));

// Null connection
    $dbh = null;
} catch (PDOException $e) { // if exception
    print "Error!: " . $e->getMessage() . "<br/>";
    die();
}

?>

如何在SQL查询中插入php变量？

2 个答案: