通过 PHP 将值插入 SQL [关闭]

Question

<?php
if (isset($_POST['submit'])) {
    //google ReCAPTCHA
    $secret = "-";
    $response = $_POST['g-recaptcha-response'];
    $remoteip = $_SERVER['REMOTE_ADDR'];
    $url = "https://www.google.com/recaptcha/api/siteverify?secret={$secret}&response={$response}&remoteip={$remoteip}";
    $response = file_get_contents($url);
    $result = json_decode($response);

    if ($result->success) {
        define("SERVERNAME", "-");
        define("USERNAME", "-");
        define("PASSWORD", "-");
        define("DATABASE", "-");


        $connection = mysqli_connect(SERVERNAME, USERNAME, PASSWORD, DATABASE);
        if (!($connection->connect_error)) {
            $sql = "INSERT INTO `gift` (`t`, `p`, `a`, `c`, `ph`, `e`) VALUES ('{$_POST['t']}', '{$_POST['p']}', '{$_POST['a']}', '{$_POST['c']}', '{$_POST['ph']}', '{$_POST['e']}')";
            $result = $connection->query($sql);
            if ($result) {
                echo '<script>alert("OK.");</script>';
            } else {
                echo '<script>alert("ERROR1.");</script>';
            }
        } else {
            echo '<script>alert("ERROR2.");</script>';
        }
    } else {
        echo '<script>alert("Verification failed.");</script>';
    }
}
?>

我不知道为什么它不起作用。我试图 var_dump($sql) 并返回一个正确的字符串。之后我不能做 var_dump($result) 因为它什么都不返回。 我迷路了。我整天都在尝试用它做点什么，也许这就是为什么我看不出这里有什么问题。

我的主要目标是向数据库中插入一些信息。

Answer 1

正如 cmets 所暗示的，请阅读 SQL 注入并练习使用它们。请参阅 here 和 here。也看看PDO（强烈推荐这个超过mysqli）和here for a tutorial on where to begin with PDO

下面是一个非常基础和简单的开始绑定参数以帮助防止sql注入：

$t = $_POST['t'];//Post data, you should probably validate this
$sql = $db->prepare("INSERT INTO `gift` (`t`, `p`, `a`, `c`, `ph`, `e`) 
        VALUES (:t, :p, :a, :c, :ph, :e)");// :t is your bind parameter
$sql->bindParam('t', $t);//bind t (:t) to $t

如果你不想用多行'bindParam'来填充你的代码，你可以直接将它们全部应用到execute方法中

//where [] is an array of values in the order of your column parameters 
//e.g. $_POST (Thanks Xorifelse )
$sql->execute([]);

正如其他人在 cmets 中提到的那样，还要检查您如何命名列，因为您现在可能理解它们，但是将来当您没有参与此项目时，您可能会忘记它们的含义，这将使继续发展有点困难。

这个site 提供了一些关于为什么使用正确的命名约定是好的信息（例如 useApproiateNamesSoIknowWhatThisIsInAYear）