Question

我知道很多人偶尔会遇到同样的错误但是我已经看过所有以前的答案和我的代码而且我已经尝试使用和不使用反引号这是我目前的代码我也尝试使用$var以及$var但同样的

if(!empty($_POST['email'])){
 $date = date('dmY'); #Todays Date
 $ip = str_replace('.','',$_SERVER['REMOTE_ADDR']); #Visitor IP
 $verify = md5($date.$ip); #MD5 ENCRYPT THE 2 VALUES
 $fname = $_POST['fname'];
 $lname = $_POST['lname'];  
 $email = $_POST['email'];
 $password = md5($_POST['password']);
 $link = mysqli_connect($dbh,$dbu, $dbp, $dbn);

 $query = mysqli_query($link, "INSERT INTO `users` (`email`,`fname`,`lname`,`verify`,`password`,`joined`)
VALUES($email,$fname,$lname,$verify,$password,$date)");

 if($query){ 
  echo "inserted"; 
 }
 else { 
  echo mysqli_error($link);
 }

表格中还有其他列，但我只想为其余列添加上述列，最初可以使用默认值

我已经看了很长时间这段代码现在我无法发现我的问题，我知道它的东西很傻

Answer 1

将变量添加到SQL查询中最容易出错的方法是通过预准备语句添加它。

因此，对于您运行的每个查询，如果要使用至少一个变量，则必须用占位符替换它，然后准备查询，然后执行它，分别传递变量。

首先，您必须更改查询，添加占位符代替变量。您的查询将变为：

$sql = "INSERT INTO users (fname, lname) VALUES (?, ?)";

然后，您必须准备它，绑定变量并执行：

$stmt = mysqli_prepare($conn, $sql);
mysqli_stmt_bind_param($stmt, "ss", $fname, $lname);
mysqli_stmt_execute($stmt);

如您所见，这只是三个简单的命令：

prepare（）您使用占位符发送查询
bind_param你在哪里发送一个带有类型的字符串（“s”用于字符串，你可以将它实际用于任何类型）和实际变量。
并执行（）

这样，您始终可以确保您添加到查询中的数据不会导致单个SQL语法错误！作为奖励，此代码也可以防止SQL注入！

理解简单地在变量周围添加引号是不够的非常重要，并且最终会导致无数问题，从语法错误到SQL注入。另一方面，由于预处理语句的本质，它是一种防弹解决方案，无法通过数据变量引入任何问题。

mysqli插入错误语法不正确

1 个答案: