PHP语法中的明显错误？

Question

我收到以下错误： 错误：您的 SQL 语法有错误；检查与您的 MySQL 服务器版本相对应的手册，以在第 3 行的“.98.229)”附近使用正确的语法

在我的PHP代码上，如下：

<?php
$con = mysql_connect("****", "****", "****");
if (!$con)
{
die('Could not connect: ' . mysql_error());
}
mysql_select_db("****", $con);
$ip=$_SERVER['REMOTE_ADDR'];

$sql="INSERT INTO users (fname, lname, email, password, ip)
VALUES
('$_POST[fname]', '$_POST[lname]', '$_POST[email]', '$_POST[password]', $ip)";

if (!mysql_query($sql,$con))
  {
die('Error: ' . mysql_error());
  }
echo "1 record added";

mysql_close($con);
?>

有什么建议吗？ :)

Answer 1

$ip 可能应该是 '$ip' 以使其成为一个字符串。

我敢肯定，我不会是最后一个对您说您应该将 mysqli 或 PDO 与参数化输入一起使用的人。允许用户输入成为查询字符串的一部分是一个巨大的安全禁忌。

Answer 2

您应该真正使用 PDO 并在执行操作之前检查您的 POST。您完全容易受到 SQL 注入的攻击。

Are PDO prepared statements sufficient to prevent SQL injection?

Answer 3

架构中的 IP 列是什么类型的字段？我想它需要像您声明中的其他字符串一样被引用。

你熟悉SQL Injection和PDO吗？

您可能还想对如何在数据库中最好地存储 IP 地址进行一些研究。