錯誤插入SQL表PHP

Question

時，這是我的代碼：

function function() { 
$isbn = $_REQUEST["isbn"]; 
$price = $_REQUEST["price"]; 
$cond = $_REQUEST["cond"]; 

$con = mysql_connect("localhost","my_usernam", "password"); 
if (!$con) die('Could not connect:' . mysql_error()); 
mysql_select_db("my_database",$con); 

$sql="INSERT INTO 'Books' (isbn, price, condition) 
VALUES ('$isbn','$price','$cond')"; 


if (!mysql_query($sql,$con)) 
{ 
die('Error: ' . mysql_error()); 
} 

mysql_close($con); 
return "It works"; 

但運行時，它會導致：

Error: You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near ''Books' (isbn, price....

任何人都知道爲什麼發生這種情況？在反引號，不是報價

Answer 1

總結表名，並確保逃避你的輸入安全：

$sql="INSERT INTO `Books` (`isbn`, `price`, `condition`) 
VALUES ('" . mysql_real_escape_string($isbn) . "', 
     '" . mysql_real_escape_string($price) . "', 
     '" . mysql_real_escape_string($cond) . "')"; 

Answer 2

您應該使用反引號，而不是單引號表和字段名稱：

$sql="INSERT INTO `Books` (`isbn`, `price`, `condition`) 
    VALUES ('$isbn','$price','$cond')"; 

將工作。

ps。防止各種討厭的安全漏洞，逃避與輸入字段：

$isbn = mysql_real_escape_string($_REQUEST["isbn"]); 
// etc etc for all fields