[英]How to write MySQL query that uses a PHP variable?
如何将php变量放入查询?
$shopid = $pdo->query('SELECT shopid FROM `shop` WHERE shopname='$shopname'')->fetchAll(PDO::FETCH_ASSOC);
这不起作用,错误消息显示:“解析错误:语法错误,意外'$ shopname'(T_VARIABLE)”
没有
不要以这种方式插入参数。 你应该使用bindParam
$statement = $db->prepare('SELECT shopid FROM shop WHERE shopname=:shopname');
$statement->bindParam(':shopname', $shopname, PDO::PARAM_STR);
$statement->execute();
如果$shopname
来自不受信任的来源,那么您对SQL注入非常开放。 要解决这个问题,你应该使用PDO和它准备好的语句API:
$query = $pdo->prepare("SELECT shopid FROM shop WHERE shopname = ?");
$query->bindValue(1, $shopname, PDO::PARAM_STR);
$query->execute();
$shopid = $query->fetchAll(PDO::FETCH_ASSOC);
您没有正确包装查询。
$shopid = $pdo->query("SELECT shopid FROM `shop` WHERE `shopname`='$shopname'");
如果你支持PDO,为什么不使用准备,它更安全。
$stmt = $pdo->prepare('SELECT shopid FROM shop WHERE shopname=:shopname');
$stmt->bindParam(':shopname', $shopname);
$shopname = $yourdefined;
$stmt->execute();
$stmt->bindColumn(1, $shopid);
while($stmt->fetch()){
echo $shopid,PHP_EOL;
}
好吧,你也可以像这样使用基本的sql:
$shopid = $pdo->query('SELECT shopid FROM `shop` WHERE shopname=\'{$shopname}\'')->fetchAll(PDO::FETCH_ASSOC);
'......' $ shopname。 '...'
使用point加入1个以上的字符串
尝试这个:
$ query =“SELECT shopid FROM shop WHERE shopname ='”。$ shopname。“'”;
$ result = mysql_query($ query);
声明:本站的技术帖子网页,遵循CC BY-SA 4.0协议,如果您需要转载,请注明本站网址或者原文地址。任何问题请咨询:yoyou2525@163.com.