PHP / MySQL中的UPDATE查询失败，错误代码1064，SQLState 42000

Question

在构建我的应用程序时，我毫不费力地进行了创建查询。 但是，当我将PHP从创建文件复制到更新文件时，出现了以下错误：

UPDATE people SET firstname ='First'，lastname ='Last'，email ='test@mail.com'，电话号码= 1234567890 WHERE id = 1'

SQLSTATE [42000]：语法错误或访问冲突：1064 SQL语法有错误； 检查与您的MariaDB服务器版本相对应的手册以获取在第1行的'''附近使用的正确语法

通常，当我收到此错误时，该错误为我提供了一个正确的修复位置。 谁能帮我找到这个错误？

update.sql：

if (isset($_POST['submit'])) {
    require "../resources/config.php";
    require "../resources/common.php";

    try {
        $connection = new PDO($dsn, $username, $password, $options);

        $id = $_GET['id'];

        $firstname = $_POST['firstname'];
        $lastname = $_POST['lastname'];
        $email = $_POST['email'];
        $phonenumber = $_POST['phonenumber'];

        $updated_number = array($firstname, $lastname, $email, $phonenumber);

        $sql = sprintf(
            "UPDATE %s SET firstname = '$firstname', lastname = '$lastname', email = '$email', phonenumber = $phonenumber WHERE id = %s",
            "people",
            $id
        );

        $statement = $connection->prepare($sql);
        $statement->execute($updated_number);
        header("Location: index.php");
    } 

    catch(PDOException $error) {
        echo $sql . "<br>" . $error->getMessage();
    }
}

Answer 1

您在这里有两个问题。 首先，也是更重要的是您使用准备好的语句。 查询本身中的所有值都应绑定。 因此，您的查询实际上应该是：

$updated_number = array($firstname, $lastname, $email, $phonenumber, $id);
$sql = sprintf("UPDATE %s 
                SET firstname = ?, lastname = ?, email = ?, phonenumber = ? 
                WHERE id = ?",
            "people");

第二个是您的sprintf用法。

WHERE id = %s

%s是字符串， %d是整数。 使用正确的预备语句，这不是必需的。 如果"people"不是变量并且是动态构建的，我认为将整个查询构建为普通字符串会更容易。 例如

$sql = 'UPDATE people
        SET firstname = ?, lastname = ?, email = ?, phonenumber = ? 
        WHERE id = ?';

Answer 2

不要使用sprintf来构建SQL语句，因为它会使您的代码容易受到SQL Injection攻击，最好使用准备好的语句，如下所示：

    $sql = "UPDATE `people` SET `firstname` = :firstname, `lastname` = :lastname, `email` = :email, `phonenumber` = :phonenumber WHERE `id` = :id;"

    $statement = $connection->prepare($sql);
    $statement->bindParam(':firstname', $firstname);
    $statement->bindParam(':lastname', $lastname);
    $statement->bindParam(':email', $email);
    $statement->bindParam(':phonenumber', $phonenumber);
    $statement->bindParam(':id', $id);