mysqli_real_escape_string 创建 SQL 语法错误答案

【问题标题】：mysqli_real_escape_string creating SQL syntax errormysqli_real_escape_string 创建 SQL 语法错误
【发布时间】：2023-04-08 23:27:01
【问题描述】：

当我需要更改页面上的信息时，我正在编写一个脚本来更新数据库，如果文本中没有特殊字符（例如 ' 或 " ），脚本可以正常工作，如果有任何特殊字符我得到一个这样的错误

您的 SQL 语法有错误；检查与您的 MySQL 服务器版本相对应的手册，了解正确的语法以使用接近“愤怒”的歌曲，音乐会煽动周围的角色变得更具攻击性。在第 1 行

我希望得到帮助，看看我在这个脚本中可能遗漏了什么，提前感谢您抽出宝贵的时间。

用于选择要更新的数据的初始页面

<?php
    include('../connect/connect-mysql.php');

$sql="SELECT * FROM table Order by Appeared asc";
$result=mysql_query($sql);
?>
<h4>Update/Edit Tool</h4>

<table width="400" border="0" cellspacing="1" cellpadding="0">
<tr>
<td>
<table width="400" border="1" cellspacing="0" cellpadding="3">
<tr>
<th align="center"><font face="Verdana" size="1">Update</font></th>
<th align="center"><font face="Verdana" size="1">Power</font></th>
<th align="center"><font face="Verdana" size="1">Power2</font></th>
<th align="center"><font face="Verdana" size="1">Power3</font></th>
<th align="center"><font face="Verdana" size="1">Power4</font></th>
</tr>

<?php
while($rows=mysql_fetch_array($result)){
?>

<tr>
<td align="center"><font face="Verdana" size="1"><a href="p_update.php?id=<? echo $rows['IDNumber']; ?>">update</a></font></td>
<td><font face="Verdana" size="1"><div style="height:20px; width:160px; overflow:hidden"><? echo $rows['Power']; ?></div></font></td>
<td><font face="Verdana" size="1"><div style="height:20px; width:160px; overflow:hidden"><? echo $rows['Power2']; ?></div></font></td>
<td><font face="Verdana" size="1"><div style="height:20px; width:160px; overflow:hidden"><? echo $rows['Power3']; ?></div></font></td>
<td><font face="Verdana" size="1"><div style="height:20px; width:160px; overflow:hidden"><? echo $rows['Power4']; ?></div></font></td>
</tr>

<?php
}
?>

</table>

编辑页面（p_update.php）：

$id=$_GET['id'];

$sql="SELECT * FROM table WHERE IDNumber='$id'";
$result=mysql_query($sql) or die(mysql_error());

$rows=mysql_fetch_array($result);
?>
<body>
<h1>Update Data</h1>
<form name="form1" method="post" action="p_update_ac.php">
<fieldset>
    <legend>Update Data</legend>
    <table border="1" width="100%" style="border-collapse: collapse">
    <tr><th><font face="Verdana" size="1"><label>Database ID: </label></font></th><td><font size="1" face="Verdana"><input name="IDNumber" type="text" id="IDNumber" value="<?php echo $rows['IDNumber']; ?>" size="10"><b>DO NOT CHANGE THIS FIELD</b></font></td></tr>
    <tr><th><font face="Verdana" size="1"><label>Power Category: </label></font></th><td><font size="1" face="Verdana"><input name="Powcategory" type="text" id="Powcategory" value="<?php echo $rows['Powcategory']; ?>" size="50"></font></td></tr>
    <tr><th><font face="Verdana" size="1"><label>Power: </label></font></th><td><font size="1" face="Verdana"><input name="Power" type="text" id="Power" value="<?php echo $rows['Power']; ?>" size="150"></font></td></tr>
    <tr><th><font face="Verdana" size="1"><label>Power 2: </label></font></th><td><font size="1" face="Verdana"><input name="Power2" type="text" id="Power2" value="<?php echo $rows['Power2']; ?>" size="150"></font></td></tr>
    <tr><th><font face="Verdana" size="1"><label>Power 3: </label></font></th><td><font size="1" face="Verdana"><input name="Power3" type="text" id="Power3" value="<?php echo $rows['Power3']; ?>" size="150"></font></td></tr>
    <tr><th><font face="Verdana" size="1"><label>Power 4: </label></font></th><td><font size="1" face="Verdana"><input name="Power4" type="text" id="Power4" value="<?php echo $rows['Power4']; ?>" size="150"></font></td></tr>
    </table>
</fieldset>
<br>
<input name="id" type="hidden" id="id" value="<?php echo $rows['id']; ?>"><input type="submit" name="Submit" value="Update Record">
</form>
<?php
// close connection
mysql_close();
?>

以下代码是p_update_ac.php，由p_update.php 脚本调用以运行。

<?php
include('../connect/connect-mysql.php');

$IDNumber = mysqli_real_escape_string($dbcon, $_POST['IDNumber']);
$Power = mysqli_real_escape_string($dbcon, $_POST['Power']);
$Power2 = mysqli_real_escape_string($dbcon, $_POST['Power2']);
$Power3 = mysqli_real_escape_string($dbcon, $_POST['Power3']);
$Power4 = mysqli_real_escape_string($dbcon, $_POST['Power4']);

$sql="UPDATE table SET Power='$Power',Power2='$Power2',Power3='$Power3',Power4='$Power4' WHERE IDNumber='$IDNumber'";
$result=mysql_query($sql) or die(mysql_error());

if($result){
echo "Successful";
echo "<p>";
echo "<a href='p_list_records.php'>View result</a>";

}

else {
echo "ERROR";
}

?>

【问题讨论】：

你到底为什么要逃避$IDNumber两次？ )
你为什么要逃避你的身份证号码两次？
...这是我想到的第一个想法，对。 ) 但是这里有太多的奇怪之处。为什么在第一个文件$ID... 中没有转义？为什么不检查 $_POST[...] 参数是否已设置？最后，为什么没有准备好的陈述？ )
$IDNumber = mysqli_real_escape_string($dbcon, mysqli_real_escape_string($dbcon, $_POST['IDNumber']); 他们的意思是，有 2 个 mysqli_escape_string 所以你要转义两次
您可以通过使用准备好的语句来避免所有这些丑陋和容易出错的代码！这将使您的生活更轻松、更安全。

标签： php mysql sql syntax

【解决方案1】：

您的UPDATE 代码将不起作用，因为您混合了两种不同的 API，而且它们没有混合在一起。

我所说的 API 是指 mysqli_* 和 mysql_* 函数。

我的印象是您的数据库连接实际上是mysql_*，否则您不会收到错误消息，所以我在下面提供了两个版本，以防万一（见脚注）：

旁注：您应该将 mysqli_* 函数与准备好的语句或 PDO 一起使用。

如果mysql，请使用以下内容

<?php
include('../connect/connect-mysql.php');

$IDNumber = mysql_real_escape_string($_POST['IDNumber']);
$Power = mysql_real_escape_string($_POST['Power']);
$Power2 = mysql_real_escape_string(_POST['Power2']);
$Power3 = mysql_real_escape_string($_POST['Power3']);
$Power4 = mysql_real_escape_string($_POST['Power4']);

$sql="UPDATE table SET Power='$Power',Power2='$Power2',Power3='$Power3',Power4='$Power4' WHERE IDNumber='$IDNumber'";
$result=mysql_query($sql,$dbcon) or die(mysql_error());

if($result){
echo "Successful";
echo "<p>";
echo "<a href='p_list_records.php'>View result</a>";

}

else {
echo "ERROR";
}

?>

如果mysqli，请使用以下内容

<?php
include('../connect/connect-mysql.php');

$IDNumber = mysqli_real_escape_string($dbcon, $_POST['IDNumber']);
$Power = mysqli_real_escape_string($dbcon, $_POST['Power']);
$Power2 = mysqli_real_escape_string($dbcon, $_POST['Power2']);
$Power3 = mysqli_real_escape_string($dbcon, $_POST['Power3']);
$Power4 = mysqli_real_escape_string($dbcon, $_POST['Power4']);

$sql="UPDATE table SET Power='$Power',Power2='$Power2',Power3='$Power3',Power4='$Power4' WHERE IDNumber='$IDNumber'";
$result=mysqli_query($dbcon,$sql) or die(mysqli_error());

if($result){
echo "Successful";
echo "<p>";
echo "<a href='p_list_records.php'>View result</a>";

}

else {
echo "ERROR";
}

?>

要切换到mysqli_* 连接，请将xxx 替换为您的数据库凭据。

DEFINE ('DB_USER', 'xxx');
DEFINE ('DB_PASSWORD', 'xxx');
DEFINE ('DB_HOST', 'xxx');
DEFINE ('DB_NAME', 'xxx');

$dbcon = @mysqli_connect (DB_HOST, DB_USER, DB_PASSWORD, DB_NAME) 
OR die("could not connect");

脚注：

mysql_*函数弃用通知：

http://www.php.net/manual/en/intro.mysql.php

此扩展自 PHP 5.5.0 起已弃用，不推荐用于编写新代码，因为它将来将被删除。相反，应该使用mysqli 或PDO_MySQL 扩展名。在选择 MySQL API 时，另请参阅MySQL API Overview 以获得更多帮助。

这些函数允许您访问 MySQL 数据库服务器。有关 MySQL 的更多信息，请访问 »http://www.mysql.com/。

可以在 »http://dev.mysql.com/doc/ 找到 MySQL 文档。

【讨论】：

非常感谢您的帮助，我尝试将其交换为 msqli_，但它似乎不喜欢那样.. 稍后我将不得不弄清楚如何将整个脚本集交换为 msqli，脚本现在正在工作，但没有 sql 语法错误。
太好了，很高兴听到。要关闭我们在此处调用的问题并将其标记为已回答，只需单击灰色勾勒出的白色复选标记，直到它将绿色变为我的答案左侧@JoJo Cheers

【解决方案2】：

如果你使用 PHP 的原始 MySQL-API，你应该使用 mysql_real_escape_string() 代替。

$IDNumber = mysqli_real_escape_string($dbcon, $_POST['IDNumber']);

// ...

$result=mysql_query($sql) or die(mysql_error());

【讨论】：