PHP的解析错误，将变量从表单传递到数据库[关闭]

Question

因此，即时通讯使用HTML表单将信息发布到php，然后使用php脚本将其发送到数据库。 但是我一直为$ first_name的意外变量（t_variable）收到此解析错误。 这是我的代码

<?php

 $first_name = $_POST ['firstname'];
 $last_name = $_POST ['lastname'];
 $email  = $_POST ['email'];

 $db_host = "localhost";   
 $db_username = "root";
 $db_pass = "password";
 $db_name = "db_name";

 //connect to database
 @mysql_connect ("$db_host", "$db_username", "$db_pass") or die ("Unable to connect to        database at the moment. Please try again later.") ; 

 //select the database to work with 
 @mysql_select_db("$db_name") or die("No such database");


 mysql_query("INSERT INTO users (id, first, last, email) VALUES ('', "$first_name", "$last_name", "$email") " ); 

 ?>

phpmyadmin ID中的字段类型为INT（长度为25）-自动递增，因此无需提供。 其他所有内容都是varchar（255个长度）

注意：我已经对值进行了硬编码，并且可以正常工作，但是当我尝试传递变量时却无法正常工作。 我也尝试了没有引号的变量，它没有用。

我该如何解决？

谢谢

固定！！！ 参数周围的单引号有效。 由于其自动递增，也删除了id字段。 现在也看mysqli。 感谢您的帮助。

Answer 1

试试这个代码

<?php

 $first_name = $_POST ['firstname'];
 $last_name = $_POST ['lastname'];
 $email  = $_POST ['email'];

 $db_host = "localhost";   
 $db_username = "root";
 $db_pass = "password";
 $db_name = "db_name";

 //connect to database
 @mysql_connect ($db_host, $db_username, $db_pass) or die ("Unable to connect to        database at the moment. Please try again later.") ; 

 //select the database to work with 
 @mysql_select_db($db_name) or die("No such database");

 mysql_query("INSERT INTO users (id, first, last, email) VALUES (null, '".$first_name"', '".$last_name."', '".$email."') " ); 

 ?>

使用var_dump(queries);仍然存在错误调试错误var_dump(queries);

Answer 2

您正在关闭引号。 一个非常简单的例子：

"foo"$variable"bar"

这只是无效的PHP语法。 您可以做的是：

VALUES ('', " . $first_name . "

使用串联， . 。

您还可以使用插值：

VALUES ('', $first_name, 

但是，您确实不应该这样做，因为查询容易受到注入的影响。 如果在值之间没有撇号，它甚至可能无法工作。

您应该对PDO或mysqli使用正确参数化的查询，而不要使用ext/mysql 。

Answer 3

您正在尝试连接字符串，但尚未告诉PHP这样做！ 污染是这样完成的：

$ new_string = $ string1。 $ string2

  ˆ this indicates you are "summing" two strings 

因此，在您的代码中，您应该执行以下操作：

mysql_query（“ INSERT INTO users（id，first，last，email）VALUES（”，'“。$ first_name。”'，'“。$ last_name。”'，'“。$ email。”'）“）;

重要提示 ：此代码包含一些漏洞利用！ 有人可以轻松注入SQL代码并拥有对数据库的完全访问权限！ 在将字符串附加到查询之前，请参见有关转义字符串的更多信息。 您可以使用mysql_real_escape_string （ http://www.php.net/function.mysql-real-escape-string ）完成此操作

Answer 4

到目前为止，其他所有内容都是正确的，您很容易受到SQL注入的攻击。 但我还要补充一点，我认为您应该完全取出插件的ID部分。 这就是原因： http : //www.w3schools.com/sql/sql_autoincrement.asp

因此，insert语句看起来像这样：

INSERT INTO Users (first,last,email) VALUES ($first_Name,$Last_Name,$Email)

除此之外，我将遵循@Janak Prajapati的示例，但请记住，除非这是一个学校项目，否则您应该做更多的工作以防止SQL注入。

Answer 5

删除查询中的双引号并添加单引号，因为当您指定varchar()类型数据时，应使用单引号，否则可能会出现解析错误。

mysql_query("INSERT INTO users (id, first, last, email) VALUES ('', '$first_name', '$last_name', '$email') " );