在变量中使用php和mysql时INSERT INTO

Question

以下是代码。出现的错误是“未知的列$ idUsager在'字段列表'”。但是那个专栏确实存在。

PHP代码：

$idUsager = $_POST['idUsager']; 
$secMoment = $_POST['secMoment']; 
$aire = $_POST['aire']; 
$longueur = $_POST['longueur']; 
$idMateriau = $_POST['idMateriau']; 

//I connect to db and everything works properly here. Also, all variables contain numeric values only. No strings. 

$query='INSERT INTO lesPoutres(idPoutre,idUsager,secMoment,aire,longueur,idMateriau)   
     VALUES(null,$idUsager,$secMoment,$aire,$longueur,$idMateriau)'; 

$result=mysql_query($query, $lien_bd); 
    if (!$result) { 
    print("<strong>Erreur lors du traitement de la requ&ecirc;te : </strong>" . mysql_error()); 

    exit(); 
    } 

这是MySQL表：

+------------+------------------+------+-----+---------+----------------+ 
| Field  | Type    | Null | Key | Default | Extra   | 
+------------+------------------+------+-----+---------+----------------+ 
| idPoutre | int(10) unsigned | NO | PRI | NULL | auto_increment | 
| idUsager | int(10) unsigned | NO |  | NULL |    | 
| secMoment | float unsigned | NO |  | NULL |    | 
| aire  | float unsigned | NO |  | NULL |    | 
| longueur | float unsigned | NO |  | NULL |    | 
| idMateriau | int(5) unsigned | NO |  | NULL |    | 
+------------+------------------+------+-----+---------+----------------+ 

Answer 1

解决方案

你需要嵌入变量转换为字符串时使用"。

更换

$query='INSERT INTO lesPoutres(idPoutre,idUsager,secMoment,aire,longueur,idMateriau)   
    VALUES(null,$idUsager,$secMoment,$aire,$longueur,$idMateriau)'; 

与

$query="INSERT INTO lesPoutres(idPoutre,idUsager,secMoment,aire,longueur,idMateriau)   
    VALUES(null,$idUsager,$secMoment,$aire,$longueur,$idMateriau)"; 

注意

mysql_*功能已过时，将被删除。我建议您改用mysqli或PDO。

SQL注入

你的脚本是容易受到SQL注入。您应该使用mysql_real_escape_string：

$idUsager = mysql_real_escape_string($_POST['idUsager']); 
$secMoment = mysql_real_escape_string($_POST['secMoment']); 
$aire = mysql_real_escape_string($_POST['aire']); 
$longueur = mysql_real_escape_string($_POST['longueur']); 
$idMateriau = mysql_real_escape_string($_POST['idMateriau']); 

Answer 2

尝试这个

$idUsager = $_POST['idUsager']; 
$secMoment = $_POST['secMoment']; 
$aire = $_POST['aire']; 
$longueur = $_POST['longueur']; 
$idMateriau = $_POST['idMateriau']; 

//I connect to db and everything works properly here. Also, all variables contain numeric values only. No strings. 

$query="INSERT INTO lesPoutres VALUES (null,'$idUsager','$secMoment','$aire','$longueur','$idMateriau')"; 

$result=mysql_query($query, $lien_bd); 
    if (!$result) { 
    print("<strong>Erreur lors du traitement de la requ&ecirc;te : </strong>" . mysql_error()); 

    exit(); 
    } 

Answer 3

你需要用引号括起来的输入数据：

替换此

$query='INSERT INTO lesPoutres(idPoutre,idUsager,secMoment,aire,longueur,idMateriau)   
     VALUES(null,$idUsager,$secMoment,$aire,$longueur,$idMateriau)'; 

与此

$query="INSERT INTO lesPoutres(idPoutre,idUsager,secMoment,aire,longueur,idMateriau)   
     VALUES(null,'$idUsager','$secMoment','$aire','$longueur','$idMateriau')"; 

也使用mysqli或PDO。 mysql_ *函数折旧。

插入防止SQL注入之前也难逃变量

$idUsager = mysql_real_escape_string($_POST['idUsager']); 
$secMoment = mysql_real_escape_string$_POST['secMoment']); 
$aire = mysql_real_escape_string$_POST['aire']); 
$longueur = mysql_real_escape_string$_POST['longueur']); 
$idMateriau = mysql_real_escape_string$_POST['idMateriau']); 

上的mysqli和PDO

更多信息可以在这里找到：http://php.net/manual/en/book.mysqli.php和http://php.net/manual/en/book.pdo.php