为什么以下 SELECT 语句不运行？ [复制]

Question

以下代码旨在从一个表中选择一个值 数据库，使用选定的值更改变量，然后添加 该变量到数据库中的另一个表。然而，我不能 弄清楚为什么它不起作用 - $entry 查询运行，但是 由于某种原因，应用程序无法识别$sql 查询。能 有人帮帮我吗？

$sql = "SELECT calories FROM food WHERE name = $food";
$result = $conn->query($sql);

if ($serving_size == 'Plate'){
    $calories = $amount * $result;
}
if ($serving_size == 'Bowl'){
    $calories = $amount * $result * 2/3; 
}

$entry = $conn->prepare("INSERT INTO data (`Food/Exercise`, `Quantity`, `Calories_Burned_or_Consumed`, `Number_of_Calories`) VALUES (?, ?, ?, ?)");
$entry->bind_param("sssi", $food, $quantity, $consumed, $calories);

if($entry->execute()){
    echo 'Inserted';
} else {
    echo 'Not Inserted';
}

Answer 1

$food 是否实际定义过，是否引用过？如果字符串周围没有引号，则此处将其视为列名，并且查询将不匹配任何内容。

这个查询实际上很容易被 SQL 注入，应该像下面那样使用参数。