php - PHP 変数を MySQL に渡す

Question

MYSQL テーブルに値を挿入する関数が PHP にあります。

function insertRow($db, $new_table, $ID, $Partner, $Merchant)
{
    $insert = "INSERT INTO " .$new_table. " VALUES(number, "string", "string")"
    $q = mysqli_query($db, $insert);
}

VALUES 部分のカスタマイズに苦労しています。数値、文字列、および文字列を、それぞれ PHP の ID、パートナー、およびマーチャント変数にする必要があります。

私はもう試した

function insertRow($db, $new_table, $ID, $Partner, $Merchant)
{
    $insert = "INSERT INTO " .$new_table. " VALUES(" .$ID . $Partner . $Merchant . ")";
    $q = mysqli_query($db, $insert);
}

同じように。しかし、SQL では文字列値を引用符で囲む必要があるため、うまくいかないようです。しかし、コードを変更して ."$ID" . "$パートナー" . "$Merchant" . ")"; したがって、変数は必要に応じて引用符で囲まれ、PHP 変数ではなくなります。SQL を正しく実行できるように、PHP 変数を引用符で囲むにはどうすればよいですか?

Answer 1

連結を使用した他の答えは単純なものです。最善の方法は、準備済みステートメントを使用することです。これにより、コードが大幅に安全になります。

$insert = "INSERT INTO " .$new_table. " VALUES(?, ?, ?)";
$q = mysqli_prepare($db, $insert);
mysqli_stmt_bind_param($q, "iss", $ID, $Partner, $Merchant);
mysqli_stmt_execute($q);

パラメータ化されたクエリを実行すると、クエリとデータが別々に送信されます。これは、クエリの構造が既に存在しているため、データに挿入された他のものによって変更できないことを意味します。つまり、SQL インジェクションから安全です。

PHP マニュアルを参照してください。

• mysqli_prepare
• mysqli_stmt_bind_param
• mysqli_stmt_execute

Answer 2

これを試して：

$insert = "INSERT INTO $new_table VALUES(number, '{$string}', '{$string}')";

Answer 3

連結

$insert = "INSERT INTO " .$new_table. " VALUES(".$ID.", '".$Partner."', "."'"$Merchant"')";

Answer 4

これを試して：

function insertRow($db, $new_table, $ID, $Partner, $Merchant)
{
    $insert = "INSERT INTO " .$new_table. " VALUES( '" .$ID."','" . $Partner."','". $Merchant . "')";
    $q = mysqli_query($db, $insert);
}

または、使用できます

function insertRow($db, $new_table, $ID, $Partner, $Merchant)
{
    $insert = "INSERT INTO " .$new_table. " VALUES( '$ID','$Partner','$Merchant')";
    $q = mysqli_query($db, $insert);
}

Answer 5

うーん... クエリであっても、他のものと同じように単なる文字列であるという事実に違いはありません。あなたは$new_table価値を追加することができたのに、他のことをするのを妨げているのは何ですか?

$insert = "INSERT INTO ".$new_table." VALUES (".$ID.", '".$Partner."', '".$Merchant.")";

これは、値をサニタイズするために必要な手順を既に行っていることを前提としています。

Answer 6

$insert = "INSERT INTO $new_table VALUES($ID,'$Partner','$Merchant')";