在 mysql 查询中使用 PHP 表单，Q2

Question

继我之前提出的一个问题之后（得到了非常有帮助的回答 - 谢谢），我有一个后续问题。

我设法将一个表单放入我的页面，该表单成功链接到具有过滤结果的另一个页面。然后我在下面直接添加了另一个表单（作为第二个搜索过滤器），但第二个表单不起作用。代码是：

<p style="margin-left:20px;">Search by:<br />
<form action="ordersfiltered.php" method="post">
order_no: <input type="int" name="order_no" />
<input type="Submit" />
</form>
<form action="ordersfiltered_name.php" method="post">
name: <input type="text" name="name" />
<input type="Submit" />
</form></p>

就像我说的，如果我在第一个框中输入 order_no 并单击“提交”，那么我会进入另一个页面，并相应地过滤结果。但是，当我在第二个框中输入名称时，我得到的页面包含所有表格标题等，但没有结果。作为参考，我在“ordersfiltered.php”页面上的相关代码是：

$result = mysql_query("SELECT * FROM orders WHERE order_no = " . $_POST["order_no"]);

（注意，我意识到我不应该使用 SELECT * - 它在我要更改的列表中）。这很好用。

我在“ordersfiltered_name.php”上的代码是：

$result = mysql_query("SELECT * FROM orders WHERE name = " . $_POST["name"]);

任何想法为什么第一个有效但第二个无效？

另外 - 如果可能的话，我想修改它添加类似 WHERE name LIKE '%...%' 的内容，以防用户没有输入整个内容。

再次感谢。

Answer 1

您说之前提出的问题有一些有用的答案，尽管您似乎没有使用任何答案：Using PHP forms in mysql queries（我不会从那里重复所有有效点...）。

也就是说，您缺少已发布变量的引号和转义：

$result = mysql_query("SELECT * FROM orders WHERE name = '" . mysql_real_escape_string($_POST["name"])) . "'";

Answer 2

我认为这与order_no 是一个数字而name 是一个字符串这一事实有关。 字符串必须用引号括起来。

因此，改变：

$result = mysql_query("SELECT * FROM orders WHERE name = " . $_POST["name"]);

到：

$name =  mysql_real_escape_string($_POST['name']);
$result = mysql_query("SELECT * FROM orders WHERE name = '". $name ."'");

您还需要检查 $_POST['name'] 是否没有任何引号。

编辑 1.您始终可以在您的mysql 命令之后使用or die(mysql_error())。 然后，您将能够看到这些命令不起作用的原因。

编辑 2. 在查询中使用 $_POST[..] 非常危险。 您应该先检查它的值并确保“清理”它。

编辑 3.另一个注意事项，考虑转移到PDO。