Question

在在实验室设置了我的粉碎物之后,我想将一些持久性有机污染物变量列入一个表格,但我怀疑该引文如何发挥作用:

$sql = "INSERT INTO whatever (a, b, c)
 VALUES ( $_POST[a] , $_POST[b] , $_POST[c] )";

然而,我知道,我以前曾几次使用过像POST或GET这样的全球变数,有人在变数名称上引述——我的问题是我在上面的缩略语中必须这样做吗? 那么,我是否应该从这些变数名字中找到一个或两个字句? 不能确定引用是否必要......

Answer 1

既然你们已经利用了我的SQLi,为什么不使用准备的声明?

if ($stmt = $mysqli->prepare( INSERT INTO whatever (a,b,c) VALUES (?,?,?) ) {
   $stmt->bind_param( sss , $_POST[ a ], $_POST[ b ], $_POST[ c ]);
   ....

这将自动和可靠地照顾你们的引言(反射)。

See http://www.php.net/manual/en/mysqli-stmt.bind-param.php,例如使用。

Answer 2

你们会这样做:

VALUES ( {$_POST[ a ]} , {$_POST[ b ]} , {$_POST[ c ]} )";

如果是插图,你需要围绕变数进行引述,那么如果你援引一种分类,那么你可以像你一样使用所有时间。

确信能够逃脱/清除全球变量,不提供用户数据再现:PDO涉及清洁功能rel=“nofollow noretinger”>。

Answer 3

如果你将价值观纳入我的ql数据库,那么你就必须将其置于“或......(除非是数字)。

员额变量与阵列一样,因此,您必须称之为:_$_POST[a]$_POST[b] 等。因此,他们陷入了神秘的争.之中(尽管这种争 que被两点 enclosed为一片)。



你们必须这样做:

$sql = "INSERT INTO whatever (a, b, c) VALUES ( ".$_POST[ a ]." , ".$_POST[ b ]." , ".$_POST[ c ]." )";


或者,如果你想把你可以做到的变量纳入其中:

for($_POST as $key => $val){
    $$key = $val;
}


之后:

$sql = "INSERT INTO whatever (a, b, c) VALUES ( $a , $b , $c )";

Answer 4

你们需要首先使用<代码>mysqli_real_einski_string()来收集投入。

建议:

$a = mysqli_real_escape_string($_POST["a"]);
$b = mysqli_real_escape_string($_POST["b"]);
$c = mysqli_real_escape_string($_POST["c"]);

$sql = "INSERT INTO whatever (a, b, c) VALUES ( $a , $b , $c )";

或者(更优惠)利用一个支持编制发言稿的总结。

<Edit: ah, mysqli确实支持准备就绪的国家。见Kenny的答复。

Answer 5

投票主要是指将某些东西,或加以扼杀。例如,你在将Hello插入我是数据库中的人,因此,你的询问就好像这个<代码>。 INSERT INTO Table VAlueS (我是人,其他数据,又是另一个数据),这不会澄清你的参数。

收集引语是好的选择,但只有你在引语中使用同样的引语,例如,

$sql = "INSERT INTO whatever (a, b, c)
 VALUES ("$_POST[a]","$_POST[b]","$_POST[c]")";

在此情况下,这将造成错误,因此,你不得不逃避你的引言。

友情链接