使用php编程更新mysql表中的字段值

Question

$id = $_REQUEST["Uid"];

$query = "update prd set name='".$_POST['nm']."', char='".$_POST['ch']."', price='".$_POST['pr']."', sp_pri='".$_POST['spr']."', is_eli='".$_POST['enb']."', upd='".$_POST['ud']."', img='".$_FILES['img']['name']."', c_id='".$_POST['cid']."' where id=".$id;

$r = mysql_query($query) or die(mysql_error());
if ($r == 1)
    echo "Record Updated";

我从这个查询得到以下错误,但我不知道如何解决它 - SQL看起来对我好!我究竟做错了什么？

您的SQL语法有错误; 检查与MySQL服务器版本对应的手册,以便在'char ='b'附近使用正确的语法,price ='150',sp_pri ='100',is_eli ='是',upd ='Mon Jul 23 2012 17 :第1行23:24'

Answer 1

char是SQL中的保留字.如果您使用这些关键字作为列名称,则必须将它们用反引号括起来(因为您应该始终使用列名称)!

$query="update prd set `name`='".$_POST['nm']."', `char`='".$_POST['ch']."', `price`='".$_POST['pr']."', `sp_pri`='".$_POST['spr']."', `is_eli`='".$_POST['enb']."', `upd`='".$_POST['ud']."', `img`='".$_FILES['img']['name']."', `c_id`='".$_POST['cid']."' where `id`=".$id;

此外,通过$_POST直接将变量添加到查询中而不需要对其进行清理,您可以将系统打开到任何类型的攻击,从而危及您的数据和网站.

看看mysqli和PDO来规避这些问题.