將字母數字值插入varchar類型列

Question

嗨，我正在嘗試將字母數字值46e0d48d-bca1-11e7-991f-2c27d70ced1d插入表中的varchar類型列。 我正在通過變量插入，但語法錯誤1604，這是不正確的。 這是代碼

    SET @sql = CONCAT('insert into ', @user_table_name, ' 
                    (user, user2, message, mesg_type, date_time, mesg_read_status)
                    values (',@user_id,',',@user2_id,',',@message,',',@mesg_type,',',@date_time,',',@read_status,')'
                   );
select @sql;    
PREPARE stmt FROM @sql;
EXECUTE stmt;
DEALLOCATE PREPARE stmt;

對於user列，我正在傳遞字母數字值46e0d48d-bca1-11e7-991f-2c27d70ced1d 。

Answer 1

學習使用參數：

SET @sql = CONCAT('
insert into ', @user_table_name, ' (user, user2, message, mesg_type, date_time, mesg_read_status)
    values (?, ?, ?, ?, ?, ?)
                  ');

PREPARE stmt FROM @sql;
EXECUTE stmt USING @user_id, @user2_id, @message, @mesg_type, @date_time, @read_status;

DEALLOCATE PREPARE stmt;

不要用參數值來修飾查詢字符串。 這使得代碼更難調試，容易出錯，更難閱讀，並且為SQL注入打開了另一道攻擊線。

Answer 2

 SET @sql = CONCAT('insert into ', @user_table_name, ' 
                (user, user2, message, mesg_type, date_time, mesg_read_status)
                values (\'',@user_id,'\',',@user2_id,',',@message,',',@mesg_type,',',@date_time,',',@read_status,')'
               );
select @sql;    
PREPARE stmt FROM @sql;
EXECUTE stmt;
DEALLOCATE PREPARE stmt;

此語句應該起作用。 試試看