mysqlite，在perl中插入數據和特殊字符

Question

我在我的sqlite數據庫中從perl插入數據。

這是我的編碼：

如果我的值具有引號等特殊字符，如何使這種情況起作用？

sub ADDROWDATATODATABASE
{
    my $dbh1 = $_[0];
    my $table = $_[1];
    my @DATA = @{$_[2]};
    my $string = ();
    foreach (@DATA) { $string .= "'$_',"; } $string =~ s/,$//; 

    $dbh1->do(qq|insert into $table values(NULL,$string);|); 

    my $date = `date`;
    print "[MYSQLITE_ADDROW.pl] $date : ADDING DATA INTO DATABASE <p>";
}

Answer 1

使用占位符並綁定值 。 這也將使您的程序免受SQL注入的侵害。

my $statement = $dbh->prepare("insert into $table VALUES(NULL, ?,?,?,?)");
$statement->execute(@DATA);

---

假設@DATA的元素數僅在運行時才知道（並且它是$table的正確元素數），可以使用

my $statement = $dbh->prepare("insert into $table VALUES(NULL" . ",?"x@DATA . ")";
$statement->execute(@DATA);

確保該語句具有正確的占位符數量。

Answer 2

您需要調用一個函數以“轉義”值。 如何執行取決於您實際使用的數據庫-MySQL和SQLite是不同的產品。

另外，您應該在INSERT語句中顯式命名列：

INSERT INTO Table (Col1, Col2) VALUES (Val1, Val2)