如何将PHP变量中的NULL值插入MySQL,远离SQL注入？

Question

我有一个Song Uploading Form,我不会在MySQL中直接输入NULL值,如:mysql_query("INSERT INTO songs(album_id)VALUES(NULL)".我将从PHP变量中插入NULL到MySQL,并确保从SQL注入安全.

我的SQL表是:

CREATE TABLE IF NOT EXISTS `songs` (
  `song_id` int(4) NOT NULL,
  `song_name` varchar(64) NOT NULL,
  `artist_id` int(4) NOT NULL,
  `album_id` int(4) DEFAULT NULL,
  `genre_id` int(4) DEFAULT NULL
  PRIMARY KEY (`song_id`)
) ENGINE=InnoDB  DEFAULT CHARSET=latin1 AUTO_INCREMENT=1 ;

我的FORM和FORM HANDLER代码是(PHP,HTML),如下所示:

<?php

if(isset($_REQUEST['SongForm']))
{
$song_name = trim($_POST['song_name']);
$artist_id = trim($_POST['artist_id']);
$album_id = $_POST['album_id']; if($album_id == 0) { $album_id = 'NULL'; } // I even tried using NULL instead of 'NULL'
$genre_id = $_POST['genre_id']; if($genre_id == 0) { $genre_id = 'NULL'; }

$query = mysql_query("
INSERT INTO `songs` (`song_name`, `artist_id`, `album_id`, `genre_id`) 
VALUES ('".$song_name."', '".$artist_id."', '".$album_id."', '".$genre_id."')
");
}

?>

<form method="post" action="<?php echo $_SERVER['PHP_SELF']?>" name="SongForm" id="SongForm">
<table style="width: 100%">
<tr>
<td><b>Song Name</b></td>
<td><input name="song_name" value="" type="text" required /></td>
</tr>
<tr>
<td><b>Artist Name</b></td>
<td>
<select id="artist_id" name="artist_id">
<option value ="0">No Artist</option>
<option value ="1">Jennifer Lopez</option>
</select>
</td>
</tr>
<tr>
<td><b>Album Name</b></td>
<td>
<select id="album_id" name="album_id">
<option value ="0">No Album</option>
<option value ="1">Rebirth</option>
</select>
</td>
</tr>
<tr>
<td><b>Genre Name</b></td>
<td>
<select id="genre_id" name="genre_id">
<option value ="0">No Genre</option>
<option value ="1">Epic Records</option>
</select>
</td>
</tr>
<tr>
<td><b>&nbsp;</td></b>
<td><input name="SongForm" type="submit" value="Upload Song" /></td>
</tr>
</table>
</form>

但在此之后我得到了MySQL中的结果:

序列号:1歌曲名称:I,Love Artist ID:1专辑ID:1 Genre ID:1

现在,当我没有为任何歌曲选择"专辑ID"和"类型ID"时,它应该在MySQL内输入"NULL".但它输入"0".

因此结果如下:

序列号:1歌曲名称:I,Love Artist ID:1 Album ID:0流派ID:0

请给我一个解决方案,以便在选择"No Album"和"No Genre"时输入NULL.

请不要让我困惑解释不相关的主题.

感谢支持解释答案的朋友,尽管任何答案都没有给我正确的解决方案.

Answer 1

在您的代码中，检查您的变量是否为空，如果它们为空，请使用NULL而不是该变量。要传递NULLto MySQL，请尝试

INSERT INTO table (field,field2) VALUES (NULL,3)