mysqli_real_escape_string foreach 函数 db_​​array_update

Question

以前有人给我写过很多次PHP程序，现在运行代码时出现这个错误：

mysqli_real_escape_string() 期望参数 2 为字符串、数组 给...

我无法解决这个问题，这里是代码：

function db_array_update($table, $a, $where) 
{    
    $q = "update $table set ";
    $b = NULL;  

    foreach($a as $key => $value)   
    {   
        if (is_int($key))
            continue;   

        $con = mysqli_connect("localhost", MYSQLUSER , MYSQLPASS, MYSQLDB);
        $b[] = "$key='".mysqli_real_escape_string($con, $value)."'";        
    }

    $q .= implode(",", $b);
    $q .= " where ".$where;

    db_query($q);

}

我是这样使用它的：

db_array_update("all_data",array('last_fetched' =>date("Y/m/d H:i:s"),'name'=>$name, 'creation'=>$creat, 'expiration' =>$expire,"id=".$res['id']);

有人可以帮我解决这个问题吗？ 尝试了很多东西但没有用...

Answer 1

作为$a 传递给您的函数的内容必须具有一个或多个本身就是数组的数组值。如果$value 是一个数组，你会得到这个错误，即。你有一个多维数组而不是简单的键/字符串对。

在您的函数中执行var_dump($a) 以查看您的数组值中的哪一个是数组。此外，您传入的数据中有一些错误：

db_array_update("all_data",array(
    'last_fetched' => date("Y/m/d H:i:s"),
    'name'=>$name,  // May be an array?
    'creation'=>$creat,  // May be an array?
    'expiration' =>$expire, // May be an array?
    ), // Need this closing ) to end the array.
    "id=".$res['id'] // This one should be outside the array!
    );

您还需要在您为$where 条件传递的'id=' 位之前关闭数组，那里有未闭合的括号。

...实际上，您的代码在这个问题之外充满了乐趣。在这里研究答案。如果这是代码的代表性样本，那么应该有人重写您的数据库功能。

Answer 2

mysqli的使用是做错了。 mysqli 的全部好处已经减少到大约为零。有关示例，请参阅http://php.net/manual/en/book.mysqli.php。

更正部分代码：

• 连接打开了很多次：效率真的很低。
• 以正确的方式将数据添加到数据库时不需要转义：不使用变量绑定=>对 SQL 注入的保护非常弱。

这些可能的更正后的代码：

function db_array_update($table, $a, $where) 
{    
$q = "update $table set";
$b = NULL; 
$c=null; 

$con = mysqli_connect("localhost", MYSQLUSER , MYSQLPASS, MYSQLDB);
foreach($a as $key => $value)   
{   
    if (is_int($key))
        continue;   

    $b[]="$key=?";
}

$q .= implode(",", $b);
$q .= " where ".$where;

$stmt = $mysqli->prepare($q);
foreach($a as $key => $value)   
{   
    if (is_int($key))
        continue;   
    $stmt->bind_param($key, $value);
}


$stmt->execute();
$stmt->close();

}

这仍然不合规：

• $where为未知字符串，应与参数绑定。
• $table 被假定为一个内部值，但应该只是一个直接的表名，以防止其中的任何滥用。