将电子邮件地址插入表格字段

Question

// write student record
$query = "INSERT INTO Student (SLastName, SFirstName, SeMail, SGrade, SPhone, SCell, SLunch)".
" VALUES ($LastName, $FirstName, $email, $grade, $phone, $cell, $lunch)";
echo $query . '<br />';
$result = mysql_query($query);
if (!$result)
     die("Error inserting Student record: ". mysql_error());

---

INSERT INTO Student (SLastName, SFirstName, SeMail, SGrade, SPhone, SCell, SLunch)
VALUES (Weiner, Wendy, somemail@gmail.com, 12, 2123334444, 8458765555, 5)

---

错误：您的 SQL 语法有错误；检查与您的 MySQL 服务器版本相对应的手册，在第 1 行的“@gmail.com, 12, 2123334444, 8458765555, 5)”附近使用正确的语法

服务器版本：5.0.91-社区

Answer 1

不应该是

INSERT INTO Student (SLastName, SFirstName, SeMail, SGrade, SPhone, SCell, SLunch)
VALUES (Weiner, Wendy, 'somemail@gmail.com', 12, 2123334444, 8458765555, 5)

即电子邮件地址在引号中？

Answer 2

您正在通过使用 SQL 查询中用户提供的未转义数据来邀请小 Bobby Tables的访问。

要么使用mysql_real_escape_stringdefang 输入，要么使用 PDO 做得更好。