PHP mysql SELECT QUERY 带有 Or

Question

mysql_query("SELECT * FROM foo WHERE id ='$foo' OR id = '$foo2");

这是行不通的。

基本上，我希望能够在 id 是一个变量的值或另一个变量的值的情况下选择它。

谢谢。

编辑：ID 列是数字。

Answer 1

正如其他人所说并且您确认的那样，问题在于您正在使用字符串文字与数字列进行比较。为了让它工作，查询应该看起来像

mysql_query("SELECT * FROM foo WHERE id =$foo OR id = $foo2");

但是，这个解决方案有非常非常糟糕的代码味道！

首先，这就是为什么IN 存在：能够写入

mysql_query("SELECT * FROM foo WHERE id IN ($foo, $foo2)");

其次，您是否将未转义的字符串注入您的查询？如果是，您的代码很容易受到 sql 注入！为了安全起见，转义并引用你的变量，像这样（在一般情况下）：

$query = sprintf("SELECT * FROM foo WHERE id IN ('%s', '%s')",
                 mysql_real_escape_string($foo),
                 mysql_real_escape_string($foo2));
mysql_query($query);

或者像这样，因为在这个特定的场景中你知道我们正在谈论整数值：

$query = sprintf("SELECT * FROM foo WHERE id IN (%s, %s)",
                 intval($foo), intval($foo2));
mysql_query($query);

脚注：我知道，当像这样使用 sprintf 时，还可以通过仅使用 %d 而不是 if %s 作为格式说明符来处理整数值。但是，我相信只要查看一个地方（参数列表）而不是多个地方（我是否在变量上使用了 intval ？或者也许我没有），就可以证明您正确地转义了变量，但我在格式字符串中使用 %d 所以我仍然没问题？）。这听起来可能违反直觉，但在面对修改时它更加稳健。

Answer 2

我认为您忘记了最后一个 ' 字符

mysql_query("SELECT * FROM foo WHERE id ='$foo' OR id = '$foo2'");

，但由于 id 列是数字，您应该使用：

mysql_query("SELECT * FROM foo WHERE id = $foo OR id = $foo2");

Answer 3

试试这个：

mysql_query(sprintf("SELECT * FROM foo WHERE id = %s OR id = %s", $foo, $foo2));

我建议你使用 mysql_error() 来获取 mysql 错误（如果存在）。

mysql_query( .. ) or die('Erro:'.mysql_error());

mysql_error 返回 mysql 中发生的最后一个错误。