使用 php 和 mysql 从表单插入数据库表时收到错误

Question

无法将信息插入我的数据库。收到错误错误：您的 SQL 语法有错误；查看与您的 MySQL 服务器版本相对应的手册，了解在 's only 许可花园附近使用的正确语法。

我已经查找了解决方案并按照列出的步骤来解决问题，例如，将 INSRT 语句全部放在一行中以避免空格和更改列名但没有运气。我觉得这是我的代码中缺少的东西。相同的 INSRT 语句在我网站上的较小表单上运行良好，但不适用于这个。

<div id="form">
<form action="sendinvite.php" method="post" class="eventform">
    <fieldset id="createeventform" class="fieldset">
         <legend style="color:#3b817a">Plan Details and Invite your Connections</legend>


   <label>Activity Category:</label>
<input type="text" name="activity_cat" id="aname " value="<?php echo $row['activity_cat']?>"/>
    </br>

<label>Activity Name:</label>
<input type="text" name="activity_name" id="aname " value="<?php echo $row['activity_name']?>"/>
    </br>

<label>Activity Address:</label>    
    <textarea id="aaddress" name="activity_address"><?php echo $row['activity_address']?></textarea>
    </br>

<label>Activity Description:</label>    
<textarea id="adescription" name="activity_description"><?php echo $row['activity_description']?></textarea>
    </br>

<label>Date of Activity:</label>
<input type="text" id="date" data-format="DD-MM-YYYY" data-template="D MMM YYYY" name="date"/>
    </br>

<label>Time of Activity:</label>
<input type="text" id="time" data-format="HH:mm" data-template="HH : mm" name="datetime"/>
</br>

<label>Message to Invitee</label>
<textarea id="comment" name="activity_message"></textarea>
    </br>

<label>Username Address to send</label>
<input type="text" id="username" name="username"/>
</br>
</br>
<input type="submit" name="addconnect" value="Send Invite"/>

</fieldset>

</form>

上面是我的表单，下面是我的 php，要插入到名为 user_invites 的数据库表中

<?php

session_start();


require_once('connect.php');

if (isset($_POST['addconnect']) && isset($_POST['activity_cat']) && isset($_POST['activity_name']) && isset($_POST['activity_address']) && isset($_POST['activity_description']) && isset($_POST['date']) && isset($_POST['datetime']) && isset($_POST['activity_message']) && isset($_POST['username']) ) {

    $sql = "INSERT into `user_invites` (user_id, activity_cat, activity_name, activity_address, activity_description, date, datetime, activity_message, username) VALUES (" . $_SESSION['userSession'] . ",'" . $_POST['activity_cat'] . "','" . $_POST['activity_name'] . "','" . $_POST['activity_address'] . "','" . $_POST['activity_description'] . "','" . $_POST['date'] . "','" . $_POST['datetime'] . "','" . $_POST['activity_message'] . "','" . $_POST['username'] . "')";



if (!mysqli_query($conn,$sql))
{
die('Error: ' . mysqli_error($conn));
}

echo "<p></br>Thank you!</p>
";

mysqli_close($conn);

}

?>

PS。此代码未上线，仅用于项目目的。我知道代码存在 SQL 注入问题

Answer 1

您使用单引号来分隔查询中的值。您的其中一个值还包含一个单引号，这会提前结束值分隔符并使查询其余部分的语法无效。

例如，我将您的查询限制为单个字段：

$sql = "INSERT into `user_invites` (activity_description)
        VALUES ('" . $_POST['activity_description'] . "')";
                ^ value start quote                    ^ value end quote

您的错误消息显示's only licensed garden 附近有错误。看看如果有人输入“StackOverflow 的唯一许可花园”的描述会发生什么（就 SQL 而言）：

$sql = "INSERT INTO `user_invites` (activity_description)
        VALUES ('StackOverflow's only licensed garden')";
                ^ value start quote
                              ^ value end quote

从“s only license garden”开始的所有内容现在都是无效的 SQL。

@cteski 转义引号的意思是，您不应该将用户输入直接放在查询中，因为您需要考虑在某处存在' 的可能性。即使您将其更改为双引号，用户也有可能在字段中的某处输入"。也许不是StackOverflow's only licensed garden，而是StackOverflow's only "licensed" garden。那么你就遇到了单引号或双引号的问题。

您可以通过使用mysqli_real_escape_string() 来解决这个问题：

$sql = "INSERT into `user_invites` (activity_description)
        VALUES ('" . mysqli_real_escape_string($conn, $_POST['activity_description']) . "')";

这可以确保值中的任何' 或" 都被正确转义并且不会破坏您的查询。是的，您应该对用户提供的所有值执行此操作。姓名、地址、消息或任何其他表单字段中也可能有引号。