添加字符串到查询的规则很简单明了:
该字符串应该用引号括起来。
因此,这些报价应在数据,以及一些其他字符转义,使用mysql_real_escape_string()
所以,你的代码变得
$type = 'testing';
$type = mysql_real_escape_string($type);
$reporter = "John O'Hara";
$reporter = mysql_real_escape_string($reporter);
$query = "INSERT INTO contents (type, reporter, description)
VALUES('$type', '$reporter', 'whatever')";
mysql_query($query) or trigger_error(mysql_error()." in ".$query);
// note that when running mysql_query you have to always check for errors
但是,如果你要添加变量在查询的另一部分中,规则会改变。
要添加一个数字,您必须明确地将其转换为其类型。
例如:
$limit = intval($_GET['limit']); //casting to int type!
$query = "SELECT * FROM table LIMIT $limit";
要添加一个标识符,这是更好地从某种白列表中进行选择,包括硬编码值
。例如:
if ($_GET['sortorder'] == 'name') {
$sortorder = 'name';
} else {
$sortorder = 'id';
}
$query = "SELECT * FROM table ORDER BY $sortorder";
为了使所有简化的保证安全,必须使用某种类型的占位符系统其中变量不是直接进入查询,而是通过一些代理(称为占位符)进入查询。
所以,你的查询电话变成这样的事:
$type = 'testing';
$reporter = "John O'Hara";
pquery("INSERT INTO contents (type, reporter, description) VALUES(?s, ?s, ?s)",
$type, $reporter,'whatever');
而且会有绝对没有必要担心所有这些问题。您可以使用PDO。虽然对于现实生活中的使用,您需要扩展套件,但只有少数库提供,其中之一是SafeMysql。