我应该如何在 mysql_query 函数中编写 PHP $_POST 变量？

Question

在访问我的数据库时，我让用户填写一个表单，然后在目标页面中，发布的值将用于生成的 MySQL 查询中。

$query = mysql_query("SELECT pass FROM database WHERE user='$_POST[user]'");

然而，由于某种原因，MySQL 不喜欢我在命令中使用 $_POST 变量，并且只有在我定义（例如） $user = $_POST['user'];$user = $_POST['user'];，然后直接将$user放入SQL命令中。

另一方面，我可以在不需要特定列名的 INSERT 语句中使用 $_POST 值：

$query = mysql_query("INSERT INTO database VALUES ('foo', 'bar', '$_POST[user]'");

如果我尝试定义属性的 INSERT 语句（例如 user='foo'），则出现同样的问题。

我在 SQL 查询中做错了什么，导致命令在运行时出错，但可以使用格式化 INSERT 命令的特定方法？

希望这不是“运气不好，看起来你必须分配所有发布的值”。呵呵。

Answer 1

首先，注意 SQL 注入！

现在，要回答您的问题，请尝试这样做：

$query = mysql_query("SELECT `pass` FROM `database` WHERE `user` LIKE '" . mysql_escape_string($_POST['user']) . "';");

您做错了几件事：

• 使用 = 运算符而不是 LIKE 运算符
• ，未将值包含在 SQL 查询中with '
• 未将用户索引包含在 $_POST 数组中 with '

PS：您应该使用 mysql_real_escape_string() 而不是 mysql_escape_string()！

Answer 2

您只需将变量插入到字符串中，因此将其放入哪个命令并不重要。

有几个问题需要指出。

第一，您可能希望对数组变量使用 {} 格式。在此格式的数组键名称周围不使用引号。

$query = mysql_query("SELECT pass FROM database WHERE user='{$_POST[user]}'")

第二，您永远不想进行这样的查询，因为您容易受到 SQL 注入漏洞的影响。考虑一下，如果 $_POST['user'] 是“cow';drop table database;--”怎么办？

您必须先在 POST 输入上运行 mysql_real_escape_string，然后再将其放入查询中，或者使用 进行检查PHP PDO 带有准备好的语句。

格式化字符串并提供一些结构的一种方法是使用 sprintf。

$query=mysql_query(sprintf("SELECT pass FROM database WHERE user='%s'",mysql_real_escape_string($_POST['user'])));

Answer 3

1. 使用 PDO - 它提供了更好的 API 来与数据库通信。
2. 如果您使用 mysql_*() 函数，请始终记住过滤 (mysql_real_escape_string()) 来自不受信任来源（例如用户）的任何数据

3. 更多地关注代码的外观。只需比较以下列表即可：

   $query = mysql_query("INSERT INTO database VALUES ('foo', 'bar', " . mysql_real_escape_string($_POST['user']) . ", " . mysql_real_escape_string($_POST['user') ]) . mysql_real_escape_string($_POST['user']) ", " .
   
   $query = sprinf('插入数据库值("foo", "bar", "%s", "%s", "%s")',
   mysql_real_escape(...), ...);
   

   我需要解释哪一个更好阅读、修改或理解吗？

Answer 4

为什么不检查一下 mysql_error() 对此有何说明呢？如果您的查询无效，mysql_error() 将返回一个漂亮的文本块，告诉您到底出了什么问题。

至于 MySQL 不喜欢 POST var，如果您在某些运行中直接插入 POST var，但在其他运行中则不然，那么您应该确保每次测试都使用一致的数据和设置。如果使用 GET 完成某些测试，那么您的 POST 变量将为空。如果您为每个测试使用不同的用户名，请查看失败的用户名之间是否一致。

如上所述，请阅读有关 SQL 注入以及您的查询如何乞求被恶意用户破坏的信息。

Answer 5

尝试一下

$query = mysql_query("SELECT pass FROM database WHERE user=" . mysql_real_escape_string($_POST['user']));

，

$query = mysql_query("INSERT INTO database VALUES ('foo', 'bar', " . mysql_real_escape_string($_POST['user']) . ")");

清理通过 $_GET 或 $_POST 收到的任何内容总是一个好主意