使用 PHP 和 SQLite

Question

我将使用一个小型 SQLite 数据库来存储我的应用程序将使用的一些数据。

然而，我无法获得使用 PHP 将数据插入数据库的语法来正确工作，下面是我尝试运行的代码：

<?php
    $day = $_POST["form_Day"];
    $hour = $_POST["form_Hour"];
    $minute = $_POST["form_Minute"];
    $type = $_POST["form_Type"];
    $lane = $_POST["form_Lane"];

    try
    {
        $db = new PDO('sqlite:EVENTS.sqlite');
        $db->exec("INSERT INTO events (Day, Hour, Minute, Type, Lane) VALUES ($day, $hour, $minute, $type, $lane);");
        $db = NULL;
    }
    catch(PDOException $e)
    {
        print 'Exception : '.$e->getMessage();
    }
?>

我已经使用我编写的一些代码成功创建了 SQLite 数据库文件，但我似乎无法插入数据存入数据库。

Answer 1

您不能像这样简单地在查询中插入字符串。看一下 PDO::quote() 和 准备好的语句。

Answer 2

这在语法上没有任何错误，除非其中一个变量（$day、$hour 等）返回空字符串。

$db->e​​xec("INSERT INTO events (Day, Hour, Minute, Type, Lane) VALUES ($day, $hour, $minute, $type, $lane);");

话虽如此，我更担心 sql 注入，因为您将 $_POST 变量直接应用到 sql 语句中而不进行验证。

Answer 3

您应该使用参数化查询。试试这个：

$db = new PDO('sqlite:EVENTS.sqlite');
$stmnt = $db->prepare("INSERT INTO events (Day, Hour, Minute, Type, Lane) VALUES (:day, :hour, :minute, :type, :lane);");
$stmnt->execute( array('day'=>$day,'hour'=>$hour, 'minute'=>$minute, 'type'=>$type, 'lane'=>$lane) );
$db = NULL;

Answer 4

您应该在修改 DML 语句（INSERT、DELETE、UPDATE）后使用 COMMIT; 显式提交事务。