更新 SQL 查询 - 将值设置为 PHP 字符串变量

Question

这可能是一个非常微不足道的问题，但我已经为此苦苦挣扎了一段时间，也尝试在网上寻找答案，但仍然出现错误。

尝试为 PHP/MySql 表单编写一个简单的 UPDATE 查询：

  $sql="UPDATE mytable SET numericValue = '".$someid."', description =  '".$sometext."' WHERE id='".$myid."' ";

虽然所有数值都可以很好地传递和更新，但我无法获得正确的描述。描述列是 VARCHAR，$sometext 是一个字符串，我无法正确将其转义/用引号括起来。

Answer 1

您应该使用 sprintf，它通过提供占位符（%d 表示小数，%s 表示字符串）来避免字符串混淆。有关更多信息，请参阅手册。

$sql= sprintf("UPDATE mytable SET numericValue = %d, description = '%s' WHERE id = %d", $someid, $sometext, $myid);

如果 $someText 来自 GET/POST/.. 你应该在它周围包裹一个 mysql_real_escape_string() 以防止 SQL 注入（或使用 PDO 准备好的语句）。

Answer 2

$sql="UPDATE mytable SET numericValue = '$someid' , description = '$sometext' WHERE id='$myid' ";

我认为你必须担心sql注入。