pdo 准备转义单引号

Question

我在我正在构建的 Web 应用程序中使用 PDO。我一直认为（实际上我错了）使用prepare 应该有助于插入变量中的单引号，但似乎我错过了一些东西。我在插入 L'Aquila 之类的值时遇到错误，其中输入数据中有一个单引号。

我的实际代码是：

        $sql = "INSERT INTO anagrafiche SET
        id_ndg = '$protocol',
        nick = '$nick',
        nome = '$nome',
        cognome = '$cognome',
        ragsoc = '$ragsoc',
        leg_rappr = '$leg_rappr',
        cod_fisc = '$cod_fisc',
        p_iva = '$p_iva',
        cf_estero = '$cf_estero',
        SAE = '$sae',
        RAE = '$rae',
        ATECO = '$ateco',
        CRCODE = '$crcode',
        indirizzo = '$indirizzo',
        civico = '$civico',
        cap = '$cap',
        citta = '$citta',
        prov = '$prov',
        tel = '$tel',
        cell = '$cellulare',
        mail = '$mail',
        note = '$note',
        file_ci = '$file_ci',
        file_cf = '$file_cf',
        file_visura = '$file_visura',
        cittadinanza = '$cittadinanza',
        res_fiscale = '$res_fiscale',
        is_curatore = '$is_curatore',
        is_legale = '$is_legale',
        is_tribunale = '$is_tribunale',
        is_fornitore = '$is_fornitore' ";
    try{
        $s = $pdo->prepare($sql);               
        $s->execute();
    }
    catch (PDOException $e){
        $error = 'Errori nel caricamento: '.$e->getMessage();
    }

当我尝试加载包含单引号的字符串时，我在尝试加载字符串时遇到这样的错误 Piazza d'Armi ：

错误提示：SQLSTATE[42000]：语法错误或访问 违规：1064 您的 SQL 语法有错误；检查手册 对应于您的 MySQL 服务器版本以获得正确的语法 在'Armi'附近使用，civico ='0'，cap ='83100'，citta ='Avellino'， 证明在第 15 行

我错过了什么？我不认为 PDO 报价可以为我完成这项工作，但也许是我不明白这一点

Answer 1

仅当您执行参数化的预处理语句时，单引号才有帮助，否则您所做的只是字符串连接，并且必须正确形成您的 SQL。

尝试类似：

$sql = "INSERT INTO anagrafiche SET
        id_ndg = :protocol,
        nick = :nick,
        nome = :nome,
        ...
        ";
$params = array(
    ':protocol' => $protocol,
    ':nick' => $nick,
    ':nome' => $nome,
    ...
); 
try{
    $s = $pdo->prepare($sql);               
    $s->execute($params);
} catch (PDOException $e) {
    ...
}

这还为您提供了减轻 SQL 注入攻击的额外优势。

如果您想更进一步并强制执行数据类型，您可以使用bindValue() 或bindParam()

喜欢：

$sql = "INSERT INTO anagrafiche SET
        id_ndg = :protocol,
        nick = :nick,
        nome = :nome,
        ...
        "; 
try{
    $s = $pdo->prepare($sql);
    $s->bindParam(':protocol', $protocol, PDO::PARAM_ST);
    $s->bindParam(':nick', $nick, PDO::PARAM_ST);
    $s->bindParam(':nome', $nome, PDO::PARAM_ST);
    ...
    $s->bindParam(':some_integer', $some_integer, PDO::PARAM_INT);
    ...           
    $s->execute();
} catch (PDOException $e) {
    ...
}

bindValue() 与bindParam() 语法相似，但只绑定了绑定参数时的变量值，而不是语句执行时的变量值。