为什么这个MySQL命令不起作用

Question

我在网站上使用旧的MySQL命令时遇到问题。

INSERT INTO
       users(user_name, user_pass, user_email ,user_date, user_level)
VALUES('" . mysql_real_escape_string($_POST['user_name']) . "',
       '" . sha1($_POST['user_pass']) . "',
       '" . mysql_real_escape_string($_POST['user_email']) . "',
       NOW(),   
       0);

它返回此错误。

#1064 - You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near 'user_name']) . "',
       '" . sha1($_POST['user_pass']) . "',
       '" . mys' at line 3 

该网站上的文章来自2010年5月，因此这可能是它无法正常工作的原因。 这是网站： http : //code.tutsplus.com/tutorials/how-to-create-a-phpmysql-powered-forum-from-scratch--net-10188 。 如果您需要更多信息，我将编辑此问题。

Answer 1

您需要在值中转义单引号（在每个POST [之后 ）。

INSERT INTO
       users(user_name, user_pass, user_email ,user_date, user_level)
VALUES('" . mysql_real_escape_string($_POST[''user_name'']) . "',
       '" . sha1($_POST[''user_pass'']) . "',
       '" . mysql_real_escape_string($_POST[''user_email'']) . "',
       NOW(),   
       0);