php准備好的語句（INSERT不起作用）

Question

我正在嘗試使用准備好的stmt來避免SQL注入，但它不起作用。 我已經用一些警報語句包圍了我的代碼，以了解問題出在哪里。 它位於bind_param語句中。 之后的一切都將永遠不會執行。 希望我能找到幫助！

過去3個小時一直在尋找答案，到目前為止，沒有任何解決方案。 PS表有6列。 一個ID自動遞增，其余的就像你從代碼中看到的那樣

$db = new PDO("mysql:port=3302;dbname=thedoctors", "root", ""); 
$Data = $_POST["post"];
$postData = $db->quote($_POST["post"]); //user's post
$user = $db->quote($_SESSION["user"]);    //user's email
$stmt = $db->prepare("INSERT INTO post (body,timee,likes,comments,userem) VALUES (?, NOW(), ?, ?, ?);");

// set parameters and execute

$first = ".$postData.";
$like = 0;
$comment = 0;

$stmt->bind_param("siis", $first, $like, $comment, $user);
echo "<script>alert('hello');</script>";
// $result = $stmt->get_result();
// header("location:activity.php");
if (strlen($Data) > 3000 || strlen($Data) < 1) {
    echo "<script>alert('Make sure your post is of correct length!');</script>";
} else {
    $stmt->execute();
    echo "<script>alert('Post uploaded! You can check it in your profile!');</script>";
}

Answer 1

當您使用PDO而不是mysqli接口時，您需要在SQL查詢中使用命名參數，如此處所述： https ://www.php.net/manual/zh/pdo.prepare.php

當前，您依靠的是bindiparam，它是mysqli接口上的一種方法。

基於PDO文檔：

<?php
/* Execute a prepared statement by passing an array of values */
$sql = 'SELECT name, colour, calories
    FROM fruit
    WHERE calories < :calories AND colour = :colour';
$sth = $dbh->prepare($sql, array(PDO::ATTR_CURSOR => PDO::CURSOR_FWDONLY));
$sth->execute(array(':calories' => 150, ':colour' => 'red'));
$red = $sth->fetchAll();
$sth->execute(array(':calories' => 175, ':colour' => 'yellow'));
$yellow = $sth->fetchAll();
?>

另外，我建議使用bindValue使您更明確地說明要為占位符設置一些值，如下所示：

<?php
/* Execute a prepared statement by binding PHP variables */
$calories = 150;
$colour = 'red';
$sth = $dbh->prepare('SELECT name, colour, calories
    FROM fruit
    WHERE calories < :calories AND colour = :colour');
$sth->bindValue(':calories', $calories, PDO::PARAM_INT);
$sth->bindValue(':colour', $colour, PDO::PARAM_STR);
$sth->execute();
?>