SQL和PHP问题

Question

此查询有什么问题？

$query3 = "INSERT INTO Users 
      ('Token','Long','Lat') 
      VALUES 
      ('".$token."','".$lon1."','".$lat."')"; 

Answer 1

您有这几个问题保留字。

1. 列名应BACKTICK逃脱了，没有报价（也早就是MySQL中的数据类型，因此它保留和必须被反引号转义）。
2. 如果这些参数没有转义，那么您有SQL注入问题。
3. 如果它不起作用，您应该向我们提供mysql_error()的结果。

尝试运行这段代码：

$token = mysql_real_escape_string($token); 
$lon1 = mysql_real_escape_string($lon1); 
$lat  = mysql_real_escape_string($lat); 

$query3 = "INSERT INTO `Users` (`Token`, `Long`, `Lat`) 
      VALUES ('{$token}', '{$lon1}', '{$lat}')"; 
$result3 = mysql_query($query3) or die("Query Error: " . mysql_error()); 

如果仍然无法正常工作，给我们的出品的错误消息。

Answer 2

1. 你周围使用字段名的单引号。这在我所知的任何SQL变体中都是无效的。要么摆脱它们，要么以正确的方式为SQL风格引用字段名称。
2. 您的代码很可能具有SQL注入漏洞，除非您遗漏了可跳过$token等的代码
3. 您不应该像这样将值放入SQL字符串中。这不是20世纪90年代 - 我们现在已经参数化查询。
4. mysql_函数使正确查询有点困难。切换到mysqli或PDO。

Answer 3

Long是mysql reserved word，需要反引号

$query3 = "INSERT INTO Users 
      (`Token`,`Long`,`Lat`) 
      VALUES 
      ('".$token."','".$lon1."','".$lat."')";