MySQL UPDATE 查询问题

Question

我有一个超级简单的问题。我有一个表单，它回显了用户可以更新的 mySQL 记录。我进行了更改，它告诉我更新成功，但是当我查看表格时，更改没有通过。这里有什么问题？

这是第一个脚本。

<?php
require_once("models/config.php");
?>

<table border=1>
 <tr>
<td align=center>Edit Form</td>
  </tr>
  <tr>
   <td>
  <table>
  <?
  $personid=$_SERVER['QUERY_STRING'];

  $order = "SELECT * FROM persons where personid='$personid'";

  $result = mysqli_query($mysqli,$order);
  $row = mysqli_fetch_array($result);
  ?>
  <form method="post" action="edit_data.php">
  <input type="hidden" name="id" value="<? echo "$row[personid]"?>"> 
  <tr>Person ID:<? echo "$row[personid]"?></tr>
    <tr>        
      <td>First Name</td>
      <td>
        <input type="text" name="firstname" 
    size="20" value="<? echo "$row[firstname]"?>">
      </td>
    </tr>
    <tr>
      <td>Surname</td>
      <td>
        <input type="text" name="surname" size="40" 
      value="<? echo "$row[surname]"?>">
      </td>
    </tr>
    <tr>
      <td align="right">
        <input type="submit" 
      name="submit value" value="Edit">
      </td>
    </tr>
     </form>
    </table>
    </td>
 </tr>
  </table>
  </body>
  </html>

接下来就是这样：

<?
require_once("models/config.php");

 $personid = $_POST['personid'];
 $firstname = mysqli_real_escape_string($mysqli, htmlspecialchars($_POST['firstname']));
 $surname = mysqli_real_escape_string($mysqli, htmlspecialchars($_POST['surname']));

 $order = "UPDATE persons SET firstname='$firstname', surname='$surname' WHERE   personid='$personid'";
$result = mysqli_query($mysqli,$order);
 if (!$result) {
echo "Error entering data! <BR>";
echo mysql_error();
} else {
echo "User updated to $firstname $surname <BR>";
}
?>

这里有什么我遗漏的吗？

提前致谢。

Answer 1

您正在发送一个名为 id 的隐藏输入并尝试使用 $_POST['personid'] 改正

你也可以关注你拥有的 cmets（至少是 SQL 注入的一个）

Answer 2

您的表单在字段id 中发送ID，而您将其称为personid。

这似乎有效的原因是更新本身是正确的。 $personid 被视为空字符串，因此更新正确地更新了所有具有空 personid 的记录，这根本不是记录。

Answer 3

好的，这是一个带有准备好的语句的修改后的脚本。该脚本在对记录进行更新的意义上起作用。两个问题： 1) 这对 MySQL 注入安全吗？ 2) 这样更新记录成功了，现在却回显“输入数据错误！”，怎么回事？

<?
require_once("models/config.php");

$personid = $_POST['personid'];
$firstname = mysqli_real_escape_string($mysqli, htmlspecialchars($_POST['firstname']));
$surname = mysqli_real_escape_string($mysqli, htmlspecialchars($_POST['surname']));

$order = "UPDATE persons SET firstname=?, surname=? WHERE personid=?";
$stmt = mysqli_prepare($mysqli, $order);
mysqli_stmt_bind_param($stmt, "ssi", $_POST['firstname'], $_POST['surname'],   $_POST['personid']);
mysqli_stmt_execute($stmt); 


$result = mysqli_query($mysqli,$stmt);
if (!$result) {
echo "Error entering data! <BR>";
echo mysqli_error($mysqli);
} else {
echo "User updated to $firstname $surname <BR>";
}
?>

我确定第二个问题是一个相当愚蠢的问题 - 我是否只是颠倒条件？