php插入mysql时出错

Question

我正在尝试插入数据库，它给了我这个：

插入错误 您的 SQL 语法有错误；检查手册 对应于您的 MySQL 服务器版本以获得正确的语法 在第 3 行使用靠近 ')' 在数据库中出现问题

public function set_Animal($Name,$Gender,$Allergie,$Age,$Weight,$Type_ID,$Owner_ID,$Colour){
    $Animal_Query= "INSERT INTO animal (Name,Gender,Allergie,Age,Weight,Type_ID,Owner_ID,Colour)
                    VALUES ($Name,$Gender,$Allergie,$Age,$Weight,$Type_ID,$Owner_ID,$Colour)";
    if(mysqli_query($this->conn,$Animal_Query)) {
        return true ;
    }
    else {
        echo "Error inserting ".mysqli_error($this->conn);
        return false ;
    }
}

Answer 1

要使您的代码正常工作，您必须用单引号将具有字符数据类型的列括起来。但是，这对 SQL 注入是可疑的。请改用准备好的语句。

假设所有列都是字符，除了年龄和体重是数字：

编辑：添加了检查$conn->prepare 是否成功。

public function set_Animal ($Name,$Gender,$Allergie,$Age,$Weight,$Type_ID,$Owner_ID,$Colour){

    $Animal_Query = "INSERT INTO animal (Name,Gender,Allergie,Age,Weight,Type_ID,Owner_ID,Colour) VALUES (?,?,?,?,?,?,?,?)";

    if($stmt = $conn->prepare($Animal_Query)){
        $stmt->bind_param("sssiisss", $Name, $Gender, $Allergie,$Age,$Weight,$Type_ID,$Owner_ID,$Colour);

        if($stmt->execute())
            return true;
        else
            return false;

    } else {
        printf("Errormessage: %s\n", $mysqli->error);
    }
    $stmt->close();
}

函数bind_param 将参数绑定到SQL 查询。 “sssiisss”参数列出了参数的数据类型。 s 字符告诉 mysql 参数是一个字符串，而 i 告诉它它是一个数字。

参数可能是以下四种类型之一：

i : 整数

d : 双倍

s : 字符串

b : BLOB

我们应该为每个参数设置一个。