mysql语句中添加php变量_如何在MySQL插入语句中包含PHP变量

添加字符串到查询的规则很简单明了：

该字符串应该用引号括起来。

因此，这些报价应在数据，以及一些其他字符转义，使用mysql_real_escape_string()

所以，你的代码变得

$type = 'testing';

$type = mysql_real_escape_string($type);

$reporter = "John O'Hara";

$reporter = mysql_real_escape_string($reporter);

$query = "INSERT INTO contents (type, reporter, description)

VALUES('$type', '$reporter', 'whatever')";

mysql_query($query) or trigger_error(mysql_error()." in ".$query);

// note that when running mysql_query you have to always check for errors

但是，如果你要添加变量在查询的另一部分中，规则会改变。

要添加一个数字，您必须明确地将其转换为其类型。

例如：

$limit = intval($_GET['limit']); //casting to int type!

$query = "SELECT * FROM table LIMIT $limit";

要添加一个标识符，这是更好地从某种白列表中进行选择，包括硬编码值

。例如：

if ($_GET['sortorder'] == 'name') {

$sortorder = 'name';

} else {

$sortorder = 'id';

}

$query = "SELECT * FROM table ORDER BY $sortorder";

为了使所有简化的保证安全，必须使用某种类型的占位符系统其中变量不是直接进入查询，而是通过一些代理(称为占位符)进入查询。

所以，你的查询电话变成这样的事：

$type = 'testing';

$reporter = "John O'Hara";

pquery("INSERT INTO contents (type, reporter, description) VALUES(?s, ?s, ?s)",

$type, $reporter,'whatever');

而且会有绝对没有必要担心所有这些问题。您可以使用PDO。虽然对于现实生活中的使用，您需要扩展套件，但只有少数库提供，其中之一是SafeMysql。