这个简单的 PHP SQL 语句有什么问题？

Question

我想重新识别全名中包含“blo”的所有用户，例如：“Pablo”

我使用 user PHP 参数传递“blo”参数：

$q=mysql_query("select * From user Where fullName Like '%'".$_REQUEST['user']."'%'",$link );

php SQL 语句中出现问题，因为当我在 SQL 数据库上尝试带有参数“blo”的句子时，我发现 SQL 语句是正确的，因为它返回了正确的结果，这是带有参数“blo”的句子：select * From userWhere fullName Like "%blo%"

我确信PHP正确接收到了“blo”参数，那么，它一定是PHP上的SQL语句的语法错误... 。但我找不到它

编辑：好的！！最后一句已解决，但现在我有一个新的句子，有同样的问题，它有一个错误，但我不知道在哪里

$query = sprintf("SELECT u.* 
                    FROM USER u
                   WHERE u.fullName LIKE '%%%s%%' AND email NOT IN (select pp.fk_email2 from permission pp where pp.fk_email1='".mysql_escape($_REQUEST['mymail'])."') AND email NOT LIKE  '".mysql_escape($_REQUEST['mymail'])."' ",
                  mysql_real_escape_string($_REQUEST['user']));

Answer 1

SQL 需要单引号来指示要比较的字符串，并且通配符 (%) 必须包含在这些单引号内。双引号仅用于列和表别名（如果有的话）。

$query = sprintf("SELECT u.* 
                    FROM USER u
                   WHERE u.fullName LIKE '%%%s%%'",
                  mysql_real_escape_string($_REQUEST['user']));

$q = mysql_query($query, $link);

其次，如果不清理用户请求变量，您将暴露于 SQL 注入攻击。在处理提交到 MySQL 数据库的字符串时，始终使用 mysql_real_escape_string。

Answer 2

你把引号搞乱了。使用这个：

$q=mysql_query('SELECT * 
                FROM user
                WHERE fullName LIKE "%' . $_REQUEST['user'] . '%"',$link );

顺便说一句，这是不好的做法。您在查询中使用未转义的输入，并且对 SQL 注入持开放态度。

Answer 3

看起来你的引号被关闭了..尝试类似的东西...

$q=mysql_query("select * From user Where fullName Like '%".$_REQUEST['user']."%'",$link);

另外，你需要确保传入的参数是sql转义的以防止sql注入。我不懂php，但它可能类似于......

$q=mysql_query("select * From user Where fullName Like '%".mysql_escape($_REQUEST['user'])."%'",$link);

Answer 4

我认为它一定是...全名如 '%" 。$_REQUEST['user']."%'"...
简单引号内包含 % 符号。

Answer 5

@AndroidUser99：将查询更改为 -

$q = mysql_query("select * from user Where fullName like '%" . $_REQUEST['user'] . "%'", $link);

更新

我认为我们可能需要更多代码，因为没有一个答案似乎“有效”。数据库链接是否在 $link 中实例化？如果有错误，错误是什么？