您的SQL語法有錯誤;檢查對應於你的MySQL服務器

Question

我做的代碼，試圖在我的論壇上用戶活動的手冊，當我在這行添加

$cat_id = $db->fetch("SELECT name FROM " . $prefix . "_categories WHERE id =" . mysql_real_escape_string($forum_data['cat_id'])); 
$page_title_pro = ' > ' . $system->present($cat_id['name']) . ' > ' . $system->present($forum_data['name']) . ''; 

我得到

You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near 's Treasures > Contests' WHERE id = '2'' at line 1 

我假設2是我的用戶ID和頁腳，我有這樣的：

$db->query("UPDATE accounts SET flocation = '$session_location', page = '$page_title_pro' WHERE id = '$id';"); 

我似乎無法找出錯誤，和每一個恢復到正常的時候我走了CAT_ID，BU那麼我不能使用當前活動的配置文件。有什麼建議麼？

Answer 1

更新語法沒有問題。問題在於你想要在包含單引號的特定列上設置的值，這會導致破壞更新語法。在傳遞查詢之前，您需要轉義值中的單引號。一種可能的方式是使用

mysql_real_escape_string

$val1 = mysql_real_escape_string($session_location); 
$val2 = mysql_real_escape_string($page_title_pro); 
$val3 = mysql_real_escape_string($id); 
$db->query("UPDATE accounts SET flocation = '$val1', page = '$val2' WHERE id = '$val3'"); 

另一個（較好的）是利用PreparedStatements（PDO或MySQLi擴展），你就可以擺脫周圍使用值的單引號。

• How to prevent SQL injection in PHP?

Answer 2

mysql_real_escape_string您輸入的值更新查詢，其$page_title_pro來自中有一個「前面的查詢。