pg_query()：查询失败：错误：列不存在

Question

我确实遵循了这里的解决方案：Warning: pg_query(): Query failed: ERROR: syntax error at or near 但我仍然收到以下错误：

警告：pg_query()：查询失败：错误：列“rosmoffi”不存在第 1 行：... FROM public."espece" where "espece"."Code_Espece" =Rosmoffi ^

这是我的代码：

$conn = pg_connect($conn_string);

$query = 'SELECT * FROM public."espece" where "espece"."Code_Espece" ='.$idd ;
if (!$result = pg_query($conn, $query)){
    echo  pg_result_error ($conn);
    return false;
}
$result = db($result); 
return $result;

Answer 1

$query = 'SELECT * FROM public."espece" where "espece"."Code_Espece" ='.$idd ;

不要这样做。如果你要输出你在这里得到的东西，你会看到错误，正如你应该从错误消息中看到的那样。变量$idd 中的任何内容都将按原样放入查询中，并且将 not 被视为字符串。这只是查询的一部分。因此，由于没有引号，在这种情况下它将被理解为列名。

最糟糕的是，如果$idd 来自用户，那么当有人将其设置为1; truncate table espece 时会发生什么。或者更糟糕的事情。 立即了解如何使用parameters。

使用参数您的代码将是：

$query = 'SELECT * FROM public."espece" where "espece"."Code_Espece" =$1';
if (!$result = pg_query_params($conn, $query, array($idd))){

这样变量就可以正确地提供给数据库并且不存在注入漏洞。

注意！对于那些一直说应该删除双引号的人，不。他们不应该。如果列名大写为Code_Espece，那么如果没有引号，PostgreSQL 将无法识别它。通常不建议大写。