将字母数字值插入varchar类型列

Question

嗨，我正在尝试将字母数字值46e0d48d-bca1-11e7-991f-2c27d70ced1d插入表中的varchar类型列。 我正在通过变量插入，但语法错误1604，这是不正确的。 这是代码

    SET @sql = CONCAT('insert into ', @user_table_name, ' 
                    (user, user2, message, mesg_type, date_time, mesg_read_status)
                    values (',@user_id,',',@user2_id,',',@message,',',@mesg_type,',',@date_time,',',@read_status,')'
                   );
select @sql;    
PREPARE stmt FROM @sql;
EXECUTE stmt;
DEALLOCATE PREPARE stmt;

对于user列，我正在传递字母数字值46e0d48d-bca1-11e7-991f-2c27d70ced1d 。

Answer 1

学习使用参数：

SET @sql = CONCAT('
insert into ', @user_table_name, ' (user, user2, message, mesg_type, date_time, mesg_read_status)
    values (?, ?, ?, ?, ?, ?)
                  ');

PREPARE stmt FROM @sql;
EXECUTE stmt USING @user_id, @user2_id, @message, @mesg_type, @date_time, @read_status;

DEALLOCATE PREPARE stmt;

不要用参数值来修饰查询字符串。 这使得代码更难调试，容易出错，更难阅读，并且为SQL注入打开了另一道攻击线。

Answer 2

 SET @sql = CONCAT('insert into ', @user_table_name, ' 
                (user, user2, message, mesg_type, date_time, mesg_read_status)
                values (\'',@user_id,'\',',@user2_id,',',@message,',',@mesg_type,',',@date_time,',',@read_status,')'
               );
select @sql;    
PREPARE stmt FROM @sql;
EXECUTE stmt;
DEALLOCATE PREPARE stmt;

此语句应该起作用。 试试看