无法从 perl 脚本运行 MySQL 存储过程

Question

我正在尝试从 perl 脚本访问 MySQL 存储过程，但收到此错误：

“无法在给定的上下文中返回结果集”

如您所见，以下过程返回两个结果表。最初，我认为问题是由此造成的，但如果我调用只有一个 select 语句的存储过程，也会出现同样的错误。

这是过程：

DELIMITER $$

CREATE DEFINER=`root`@`localhost` PROCEDURE `GetPictureDataForSendMsg`(memIdVal VARCHAR(4))
begin
   select val, size3
   from members
   where memid=memIdVal;

   select id, filename, picname, picsize
   from pictures
   where memid=memIdVal order by id asc; 
end

调用者：

$input = 'ABC1';
$dbh = DBI->connect("DBI:mysql:$db:$server;mysql_multi_statements=true", "$user", "$password");
my $result = $dbh->prepare('CALL GetPictureDataForSendMsg($input)') or error($q, "Problem with database call");
$result->execute or error($q, "Problem with database call");

错误链接到执行语句。我有必要的权限和最新版本的 MySQL；该过程在命令行中完美运行。

怎么了？感谢您的帮助。

Answer 1

CALL... 语句周围有单引号。变量只插入双引号字符串，而不是单引号字符串。将它们更改为双引号，如下所示：

my $result = $dbh->prepare("CALL GetPictureDataForSendMsg($input)") or error($q, "Problem with database call");

这会将变量插入到字符串中，因此您现在将“CALL GetPictureDataForSendMsg(ABC1)”发送到数据库。那也行不通。数据库会将您提供的任何内容作为参数直接放入 SQL 字符串中。如果您像这样引用 ABC1 'ABC1'，那么它会将其视为字符串；否则它会认为 ABC1 是一列的名称 - 它不是。

所以，这条线会起作用：

my $result = $dbh->prepare("CALL GetPictureDataForSendMsg('$input')") or error($q, "Problem with database call");

但是这条线也有问题。如果 $input 表示的字符串包含单引号怎么办？它会破裂。这就是 SQL 注入攻击的发生方式。相反，您应该使用 DBI 报价功能，如下所示：

my $result = $dbh->prepare('CALL GetPictureDataForSendMsg('.$dbh->quote($input).')') or error($q, "Problem with database call");

我在我的 MySQL 实例（服务器版本：5.1.49-1ubuntu8.1 (Ubuntu)）上对此进行了测试，它工作正常。