在表单值字段中显示来自数据库的值

Question

我一直在尝试将数据库中的数据显示为表单字段中的值。但是系统一直说“while($row = mysql_fetch_array($result))”有一个错误。所以我在这里有点困惑。我该如何解决这个错误。下面是我的代码。

<?php
if (isset($_GET['serialno'])){

    echo '<form action="update.php" method="post">';
    echo '<br>';
    echo '<input type="hidden" name="serialno" value="'. $_GET['serialno'] .'">';

    $con = mysql_connect("localhost","root","");
    if (!$con){
        die('Could not connect: ' . mysql_error());
    }

    mysql_select_db("sys", $con);

    $id=$_GET['serialno'];
    $result = mysql_query("SELECT * FROM main WHERE serialno = $id");

    while($row = mysql_fetch_array($result)){
        echo'Date: '.'<input type="text" name="date" value="'. $row['date'] .'">'; 
        echo '<br>';
        echo'Work Description: '.'<input type="text" name="desc" value="'. $row['desc'].'">';
        echo '<br>';
        echo'Company Name: '.'<input type="text" name="comp" value="'. $row['comp'] .'">'; 
        echo '<br>';

        echo '<input name="save" type="submit" value="Save" />';
    }

    echo '</form>';
}
?>

谁能帮帮我..真的很感激。

Answer 1

您忘记了查询中 $id 周围的单引号，如果添加它们，它将起作用。

$result = mysql_query("SELECT * FROM main WHERE serialno = '$id'");

在mysql_query()后面加上or die(mysql_error())很聪明，这样你就可以看到错误在哪里了。

另外，如果有人将' OR 1='1 输入为serialno，您的脚本将选择数据库中的所有行，然后将它们全部显示出来。您可以通过将$id= $_GET['serialno']; 更改为$id=mysql_real_escape_string($_GET['serialno']); 来防止这种情况发生