所以目前我的代码是以程序格式编写的,所以为了防止自己在mysqli_real_escape_string函数中添加“链接”,我做了一个看起来像这样的方法:
// Used to create a legal SQL string that you can use in an SQL statement in place of mysqli_real_escape_string
public function escape_string($string) {
$newstring = mysqli_real_escape_string($this->dbconn, $string);
return $newstring;
}
当我使用它时虽然我没有得到任何结果,但如果你有任何建议请告诉我。
以下是我使用该功能的一些示例:
function email_exists($email,$dblayer){
$sql = "SELECT `id` FROM `users` WHERE `email` = '" . $dblayer->escape_string($email) . "'";
$results = $dblayer->select_query($sql);
if($results){
return true;
}else{
return false;
}
而且:
public function pass_reset($email){
$newpass = substr(md5(mt_rand(1,99999)),0,8);
$newpasshash = md5($newpass . '************');
$sql = "UPDATE `admin_users` SET `password` = '" . $newpasshash . "' WHERE `username` = '" . $this->dblayer->escape_string($email) . "'";
$this->dblayer->modify_query($sql);
return $newpass;
}
这是围绕另一个名为dbobject的dblayer创建的:
case $range:
$dates = explode(',',$_GET['search-string']);
$sql = "SELECT SQL_CALC_FOUND_ROWS * FROM `user_profile` WHERE `created` BETWEEN '" . $dates[0] . "' AND '" . $dates[1] . "'";
break;
default:
$sql = "SELECT SQL_CALC_FOUND_ROWS * FROM `user_profile` WHERE `" . $_GET['search-field'] . "` LIKE '%" . $dbobject->escape_string($_GET['search-string']) . "%'";
break;
答案 0 :(得分:0)
看起来问题可能是双重的。首先,我希望您的$this->dbconn
是NULL
。这可能会mysqli_real_escape_string
返回NULL
。这意味着您的SQL可能正在寻找空字符串。
验证这一点的最佳方法是检查连接是NULL
还是检查您正在运行的SQL。你看到一些''
吗?然后你将与null连接。
然而,唯一可能发生的方法是,如果您的错误报告被抑制。在开发过程中,您应该打开错误。有关于如何显示错误in this question的信息。
答案 1 :(得分:0)
这就是我对修复问题的原始代码做了不同的处理。它可能看起来有点含糊不清。
// Used to create a legal SQL string that you can use in an SQL statement in place of mysqli_real_escape_string
public function escape_string($string) {
$newstring = '';
if ($this->dbconn) {
switch ($this->dbtype) {
case 'mysql' :
$newstring = mysqli_real_escape_string ( $this->dbconn, $string );
break;
}
}
return $newstring;
}