为什么这个mysql查询不能从php工作

Question

注册过程中的 PHP 代码：

    $query="INSERT INTO `users`(`email`, `password`, `role`, `time_registration`) 
        VALUES ('".mysqli_real_escape_string($con, trim($_SESSION['reg']['email']))."',
                '".hash('SHA512',trim($_POST['password']))."',
                '".mysqli_real_escape_string($con, trim($_SESSION['rola']))."',
                NOW())";

    if(!mysqli_query($con, $query)){
        error(".....");
    }else{

这一切都很好。执行第一个查询并将数据存储到“用户”表中。但是问题来了。下一个 php 代码生成新的 mysql 查询，该查询永远不会执行。但是当我将它复制到 PHPmyAdmin 时，它就可以工作了......

        $last_id=$con->insert_id;
        $query='';
        foreach($_SESSION['reg'] as $key=>$value){
            if($value!=''){
                $query.=" INSERT INTO user_detail (id_user,id_item,value) VALUES ('".$last_id."', (SELECT id_item FROM profil_items WHERE name='".$key."'), '".mysqli_real_escape_string($con, $value)."');";
            }   
        }

        if(!mysqli_query($con, $query)){
            echo $query; 
        }else{
            header('Location: ...somewhere....');
        }           
    }

Mysqli 错误消息：“您的 SQL 语法有错误；请查看与您的 MySQL 服务器版本相对应的手册，了解在 'INSERT INTO user_detail (id_user,id_item,value) VALUES ('14' , (SELECT id_po' at line 1".

我不明白。如果语法有错误，如何在 PHPmyAdmin 中执行而不出错？

Answer 1

从来没有任何理由使用mysqli_multi_query()。养成使用多查询的习惯，让您对新的types of SQL injection vulnerabilities 敞开心扉。

您应该单独执行每个 INSERT，在 foreach 循环内使用 mysqli_query()。

或者将多行追加到一个多行INSERT语句中并在循环之后执行。

---

在这种情况下，不可以（尽管您应该使用绑定参数而不是mysqli_real_escape_string()），但我认为一旦您开始使用mysqli_multi_query()，您可能会以不安全的方式在其他地方使用它。最好不要使用它。

您可以使用多行语法执行单个 INSERT。但我不会担心执行多条语句的开销，除非您执行的量如此之大，以至于您可以衡量一个重要的性能问题。不用担心微优化。