将html选择表单的值插入mysql数据库

Question

我想将选定的“选择表单”的值插入到我的 mysql 数据库中。

我怎样才能得到正确的价值？

<form action='' method='post'>
 <select name="myselectbox">
  <option name="myoption1" value="myoption1">myoption1</option>
  <option name="myoption2" value="myoption2">myoption2</option>
  <option name="myoption3" value="myoption3">myoption3</option>
  <option name="myoption4" value="myoption4">myoption4</option>
 </select>
<input type='submit' value='submit'/>
</form>

类似的东西？ （这个显然没有用..）

$sql = "INSERT INTO Entries (myoption1) VALUES ('$_POST[myselectbox]')";

Answer 1

$value = mysql_real_escape_string($_POST['myselectbox']);    
$sql = "INSERT INTO Entries (myoption1) VALUES ($value)";

Answer 2

您的 SQL 命令有错误，$_POST 需要将 html 名称用引号括起来，例如 => $_POST['some_name'] :

$sql = "INSERT INTO Entries (myoption1) VALUES ('$_POST[myselectbox]')"; /* ^^ missing quotes here*/

试试这个方法：

$sql = "INSERT INTO Entries (myoption1) VALUES (".$_POST['myselectbox'].")";

Answer 3

你必须将你的选择标签包装成一个表单标签。

<form action='' method='post'>
<select name="myselectbox">
   <option name="myoption1" value="myoption1">myoption1</option>
   <option name="myoption2" value="myoption2">myoption2</option>
   <option name="myoption3" value="myoption3">myoption3</option>
   <option name="myoption4" value="myoption4">myoption4</option>
</select>
<input type='submit' value='submit'/>
</form>

一旦你提交了表单，你会得到 $_POST['myselectbox'] 的 post 变量，可以像你已经做的那样附加到一个 mysql 查询中。但是为了更好的方法，不要只是像那样附加它，而是在附加之前检查表单是否已提交并且发布变量是否可用。 例如：

if(!empty($_POST['myselectbox'])){
    /*.. do your query section... */
}

Answer 4

假设您的表单是正确的，并且它正在将您想要的值发布到您的脚本中。

（您在代码中添加了echo 以确保是这种情况？）

将数据发送到 SQL 语句并因此发送到 mysql 的最简单可靠的方法是使用准备好的语句。

看这里：http://www.php.net/manual/en/mysqli.quickstart.prepared-statements.php

基本上你写的SQL语句没有你的变量（替换为?），然后告诉mysql稍后用你的变量执行语句。它避免了转义字符串和担心如何构建的需要。

例如，您可能有：

// Connect to mysql

$mysqli = new mysqli('where your server is', 'my_user', 'my_password', 'world');

// Build the initial statement - easier to read as you don't have your string concatenation here

$stmt = $mysqli->prepare( "INSERT INTO Entries (myoption1) VALUES (?)" );

// Tell mysql that the '?' should be replaced with the value in your post array

$stmt->bind_param( "s", $POST['myselectbox'] );

// Execute the statement

$stmt->execute()

显然您也应该添加错误处理，但文档涵盖了这方面的基础知识。

SQL 注入

使用prepared statements是个好主意的主要原因是它避免了SQL注入攻击。

还有其他方法，但在我看来这是最简单的解决方案。

SQL 注入攻击是指有人试图通过将其他 SQL “注入”到您的语句中来更改正在运行的 SQL 语句。

以您的代码为例，您可以执行以下语句：

$sql = "INSERT INTO Entries (myoption1) VALUES ('". $_POST['myselectbox'] ."')";

通常会收到（我们建议）myoption1 之类的内容。

这将导致 SQL 为：

INSERT INTO Entries (myoption1) VALUES ('myoption1');

如果有人决定，他们可以发送'='' OR '1'='1

这将导致 SQL 为：

INSERT INTO Entries (myoption1) VALUES (''='' OR '1'='1');

这（显然）非常不同。

或者，更糟糕的是发送'=')'; DROP TABLE Entries WHERE (''='

这将导致 SQL 为：

INSERT INTO Entries (myoption1) VALUES (''=''); DROP TABLE Entries WHERE (''='');

使用准备好的语句

简单地说，但是使用准备好的语句，你告诉 mysql 你发送的是一个用作参数的文字字符串。它永远不能被视为语句本身的一部分，因此上述内容根本不可能。

安全得多。

我希望这样可以更清楚。如果您想了解更多信息，我建议您独立研究...