PHP Form SQL格式錯誤

Question

我正在嘗試制作一個基於正確電子郵件進行檢查的簡單表格。 如果電子郵件正確，則會使用新時間更新數據庫。 當我運行它時，出現格式錯誤。我不是PHP專家，所以我可能在這里錯過了一些東西...

<?php
if(isset($_POST['update']))
{
$dbhost = 'localhost';
$dbuser = 'user1';
$dbpass = 'password';
$conn = mysql_connect($dbhost, $dbuser, $dbpass);
if(! $conn )
{
  die('Could not connect: ' . mysql_error());
}

$email= $_POST['email'];
$time= $_POST['time'];

$sql = "UPDATE users".
       "SET time= $time".
       "WHERE email = $email" ;

mysql_select_db('dbname');
$retval = mysql_query( $sql, $conn );
if(! $retval )
{
  die('Could not update data: ' . mysql_error());
}
echo "Updated data successfully\n";
mysql_close($conn);
}
else
{
?>
<form method="post" action="<?php $_PHP_SELF ?>">
<table width="400" border="0" cellspacing="1" cellpadding="2">
<tr>
<td width="100">Email:</td>
<td><input name="email" type="text" id="email"></td>
</tr>
<tr>
<td width="100">Time:</td>
<td><input name="time" type="text" id="time"></td>
</tr>
<tr>
<td width="100"> </td>
<td> </td>
</tr>
<tr>
<td width="100"> </td>
<td>
<input name="update" type="submit" id="update" value="Update">
</td>
</tr>
</table>
</form>
<?php
}
?>
</body>
</html>

Answer 1

您的查詢引號錯誤。

<?php
if(isset($_POST['update']))
{
$dbhost = 'localhost';
$dbuser = 'user1';
$dbpass = 'password';
$conn = mysql_connect($dbhost, $dbuser, $dbpass);
if(! $conn )
{
  die('Could not connect: ' . mysql_error());
}

mysql_select_db('dbname');

$email= $_POST['email'];
$time= $_POST['time'];

$sql = "UPDATE users SET time= '$time' WHERE email = '$email'";

$retval = mysql_query( $sql, $conn );
if(! $retval )
{
  die('Could not update data: ' . mysql_error());
}
echo "Updated data successfully\n";
mysql_close($conn);
}
else
{
?>
<form method="post" action="<?php $_PHP_SELF ?>">
<table width="400" border="0" cellspacing="1" cellpadding="2">
<tr>
<td width="100">Email:</td>
<td><input name="email" type="text" id="email"></td>
</tr>
<tr>
<td width="100">Time:</td>
<td><input name="time" type="text" id="time"></td>
</tr>
<tr>
<td width="100"> </td>
<td> </td>
</tr>
<tr>
<td width="100"> </td>
<td>
<input name="update" type="submit" id="update" value="Update">
</td>
</tr>
</table>
</form>
<?php
}
?>
</body>
</html>

---

旁注：您當前的代碼可以進行SQL注入 。 使用mysqli_*函數。 （我建議您將其與預處理語句或PDO一起使用 ）

---

腳注：

mysql_*函數棄用通知：

http://www.php.net/manual/en/intro.mysql.php

自PHP 5.5.0起不推薦使用該擴展，不建議編寫新代碼，因為將來會刪除該擴展。 相反，應使用mysqli或PDO_MySQL擴展名。 另請參見MySQL API概述，以獲取選擇MySQL API時的更多幫助。

這些功能使您可以訪問MySQL數據庫服務器。 有關MySQL的更多信息，請參見» http://www.mysql.com/ 。

可以在» http://dev.mysql.com/doc/中找到MySQL的文檔。

---

快速筆記

您可以通過一次性完成以下操作來縮短代碼：

$dbhost = 'localhost';
$dbuser = 'user1';
$dbpass = 'password';
$db = 'dbname';
$conn = mysql_connect($dbhost, $dbuser, $dbpass, $db);

因此您不必使用mysql_select_db('dbname'); 但這純粹是基於意見/偏好的操作，可以同時為您節省一些按鍵操作。

---

更改：

$email= $_POST['email'];
$time= $_POST['time'];

至：

$email= mysql_real_escape_string($_POST['email']);
$time= mysql_real_escape_string($_POST['time']);

在您准備好准備好的語句或PDO之前，這將有助於增加安全性。

Answer 2

您的sql腳本中沒有空格。

將$sql更改為：

$sql = "UPDATE users ".
   "SET time= '$time' ".
   "WHERE email = '$email'" ;

盡管這會很好：

$sql = "UPDATE users SET time= '$time' WHERE email = '$email'" ;

請記住，您的頁面容易受到sql注入的攻擊，因為您沒有逃避時間和電子郵件。