MySQL查询与PHP变量的问题

Question

我搜寻了类似stackoverflow之类的内容以寻找答案，但似乎没有什么对我有用。 我在/ var / log / apache2 / error_log中没有收到任何错误，因此在语法上似乎是正确的。

我正在创建一个功能页，该功能页将从输入表单中获取数据，然后根据用户要更新的内容将其插入数据库。 当我在mysql CLI上运行查询时，它会很好地进行更新，但是在运行该查询时它将无法在页面中运行。

我设置了多个查询，并且它们仅基于信息是否填写来运行，这是一个示例，好像用户想要更新其名字一样。

最重要的是，这种情况会使该人将单词输入PHP变量，

$first_name = htmlentities($_POST["first"], ENT_QUOTES);

它还通过以下方式从他们的登录信息中获取该人的用户ID：

$user_id = $_SESSION['login_info']['user_id'];

然后在那之后，它检查实体是否为空，如果不是，则运行查询。

if ($first_name != "") {
    $result = $dbact->interact("UPDATE person SET first_name = ".$first_name." WHERE idperson = ".$user_id, true);
}

$ result存储查询的输出，因为我正在调用如下所示的交互函数：

public function interact($query,$resultVal) {
    $db = new mysqli("localhost","username","password","calendar");

    if ($db->connect_errno) {
        echo "Failed to connect to MySQL: (" . $db->connect_errno . ") " . $db->connect_error;
    }

    if(!$db) {
        echo "Error: Could not acces database in mySQL";
        exit;
    }

    //Running the query and returning the result based on $resultVal
    if($resultVal) {
        $result = $db->query($query);

        return $result;
    }

    else {
        $db->query($query);
    }
}

我的语法一定有问题，我是在串联错什么吗？ 这可能只是我所忽略的事情，但我很乐意提供意见。

谢谢大家的时间。

Answer 1

您在字符串值周围缺少引号：

$result = $dbact->interact("UPDATE person SET first_name = ".$first_name." WHERE idperson = ".$user_id, true);
                                                         ^^^^^^^^^^^^^^^^^^^
                                                                HERE

应该：

$result = $dbact->interact("UPDATE person SET first_name = '".$first_name."' WHERE idperson = ".$user_id, true);

仅供参考， htmlentities() 不能保护您免受SQL注入。 您的代码容易受到攻击。