MySQL的SELECT * WHERE值= $行[“项目”]

Question

什么是正确编写以下

SELECT * FROM table WHERE value = $row['item'] 

$row['item']回声正确的做法，但似乎并没有在MySQL查询工作。一直有这个问题几天。我试过.$row['item'].和其他一些变化，但我必须做错了什么。

Answer 1

更好更合适的方法是使用库MySQLi和预准备的语句，即：

$stmt = $mysqli->prepare("SELECT * FROM table WHERE value =?"); 
$stmt->bind_param("s",$row['item']); // I am assuming row['item'] is a string 
$stmt->execute(); 

如果您不能使用的mysqli或绝对拒绝你可以使用这个：

$query = "SELECT * FROM table WHERE value = '".mysql_real_escape_string($row['item'])."'"; 

Answer 2

你缺少单引号

SELECT * FROM table WHERE value = '{$row['item']}' 

PHP例如

Answer 3

我通常建议这样做的方式是这样的：

$sql = sprintf("SELECT * FROM table WHERE value = '%s'", 
    mysql_real_escape_string($row['item'])); 

Answer 4

$item = mysql_real_escape_string($row['item']); 
$mysqlQuery = "SELECT * FROM table WHERE value = '" . $item . "'"; 

Answer 5

答案排序取决于什么是$row['item']变量中举行。如果它是一个数值，那么上面的查询应该没问题。由于它不起作用，我假定该变量的值实际上是一个字符串。在这种情况下，您需要用引号包围该值，以便数据库可以将其正确地标识为字符串值（否则，这只是数据库无法识别的乱码“命令”，导致查询失败）。

无论如何，在几乎任何情况下都不应直接将变量插入查询。原因是，如果你不是非常小心，它会打开你的SQL注入。例如，如果您的$row['item']变量被包装在查询中的单引号中，但包含其单引号的值，那么数据库会将该变量中的引号解释为整个参数的结尾引号，查询。更糟的是，黑客可以利用这一点完全结束你的查询，然后添加他自己创建的第二个查询（或者他们可以在原始结尾引入UNION查询等）。最起码，你应该运行在可变像mysql_real_escape_string()使用它之前：

$sql = "SELECT * FROM table WHERE value = " . 
     mysql_real_escape_string($row['item']); 

来解决这个问题，并保护您的查询的最佳方法是使用准备好的语句。这些查询在其中包含占位符而不是连接变量。您使用这些占位符准备查询，然后向数据库发出其他命令以告诉它在这些占位符中放置了什么值。然后数据库负责处理这些变量的棘手问题，以免造成任何损害。您可以使用此PDO：

try { 
    $dbh = new PDO(DB_DSN, 
       DB_USER, 
       DB_PASS, 
       array(PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION) 
      ); 
} catch (PDOException $e) { 
    echo "Connection failed: " . $e->getMessage(); 
    exit(); 
} 

// create query with a named placeholder 
$sql = "SELECT * FROM table WHERE value = :value"; 

try { 
    $stmt = $dbh->prepare($sql); 

    // tell PDO to substitute the value in $row['item'] 
    // for the named parameter specified above. 
    $stmt->bindValue(":value", $row['item']); 

    // execute the query and load the results into an array 
    $stmt->execute(); 
    $records = $stmt->fetchAll(); 

} catch (PDOException $e) { 
    echo "Query failed: " . $e->getMessage(); 
    exit(); 
} 

foreach ($records as $record) { 
    // use db records 
}