MySQL查询错误 - 隐藏错误？

Question

我想做一个注册表单，但sql查询只是不会工作..试图添加的内容和删除它们，添加（'）标志插入的数据，并删除它们..没有任何作品！我不确定我的错误在哪里......有人可以帮忙吗？

PHP代码：

 $mysqli = new mysqli('localhost','root','','wisdom') or die("CONNECTION ERROR"); 

    $query = "INSERT INTO net_users VALUES (NULL,'$fname','$mname','$lname','$dob','$uname','$pasw','$phone1','$phone2','$email',NULL,NULL,NULL,'$date');"; 

     if($mysqli->query($query)) echo "REGISTERED"; 
     else echo "<br><br>FAILED: ".$mysqli->error; 

ERROR：

FAILED: You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near '123456789,987654321,b@b.b,NULL,NULL,NULL,14/12/04)' at line 1 

数据（$ _POST）：

Array ( 
[fname] => A //$fname 
[mname] => A //$mname 
[lname] => A //$lname 
[dob] => 2014-07-17 //$dob 
[username] => bakriawad //$uname 
[password] => horray  //$passw 
[cpassword] => horray 
[email] => b@b.b   //$email 
[phone1] => 123456789 //$phone1 
[phone2] => 987654321 //$phone2 
[botchk] => 
[tos] => on) 

// $日期=日期（ “年/月/ d” ）;

我确保数据匹配行数据类型...我试着改变和重写代码多次...没有任何作品！它只是卡在那里！

--------------------------------------------- ------------------------------------------ \

EDIT 服务器被冻结（或什么..），重新启动后它接受输入..抱歉的麻烦..但工作6小时后，你很难直接思考...即使sql不断变化，错误永远不会改变，那是一个明确的标志。

Answer 1

您应该用单引号括住这些值。尝试将单引号添加到您的值。

$query = "INSERT INTO net_users VALUES (NULL,'$fname','$mname','$lname','$dob','$uname','$pasw','$phone1','$phone2','$email',NULL,NULL,NULL,'$date');"; 

您也有一个sqlinjection attack风险。建议您改为使用bind_param()。

Answer 2

两件事;一个很糟糕，另一个很糟糕。

1. 你忘记在字符串值中加引号，所以SQL表达式不是一个写得很好的表达式。
2. 您首先遇到了SQL注入攻击风险。 Please read this看看它是什么以及如何预防它。

Answer 3

您不能只将您的变量连接到SQL查询字符串，并期望它工作。您需要在字符串值附加引号，并确保每个字符都被正确格式化/转义。

$query = "INSERT INTO net_users VALUES (NULL,'$fname','$mname','$lname','$dob','$uname','$pasw','$phone1','$phone2','$email',NULL,NULL,NULL,'$date');"; 

虽然，我不建议做这种方式。如果您将用户输入连接到SQL查询中，您刚刚打开了SQL注入的大门。你想要做的是使用“准备好的陈述”。你要做的是将?添加到你想要变量去的查询中。然后这些变量被传递给一个单独的函数。没有引用，没有转义，没有SQL注入的担忧。

$mysqli = new mysqli('localhost','root','','wisdom') or die("CONNECTION ERROR"); 
$query = $mysqli->prepare('INSERT INTO net_users VALUES (NULL,?,?,?,?,?,?,?,?,?,NULL,NULL,NULL,?)'); 

// No quoting or escaping needed, this passes the values separate from the query 
$query->bind_param('ssssssssss', $fname, $mname, $lname, $dob, $uname, $pasw, $phone1, $phone2, $email, $date); 

// This actually runs the query 
$query->execute();