MySQL查詢錯誤 - 隱藏錯誤？

Question

我想做一個註冊表單，但sql查詢只是不會工作..試圖添加的內容和刪除它們，添加（'）標誌插入的數據，並刪除它們..沒有任何作品！我不確定我的錯誤在哪裏......有人可以幫忙嗎？

PHP代碼：

 $mysqli = new mysqli('localhost','root','','wisdom') or die("CONNECTION ERROR"); 

    $query = "INSERT INTO net_users VALUES (NULL,'$fname','$mname','$lname','$dob','$uname','$pasw','$phone1','$phone2','$email',NULL,NULL,NULL,'$date');"; 

     if($mysqli->query($query)) echo "REGISTERED"; 
     else echo "<br><br>FAILED: ".$mysqli->error; 

ERROR：

FAILED: You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near '123456789,987654321,b@b.b,NULL,NULL,NULL,14/12/04)' at line 1 

數據（$ _POST）：

Array ( 
[fname] => A //$fname 
[mname] => A //$mname 
[lname] => A //$lname 
[dob] => 2014-07-17 //$dob 
[username] => bakriawad //$uname 
[password] => horray  //$passw 
[cpassword] => horray 
[email] => b@b.b   //$email 
[phone1] => 123456789 //$phone1 
[phone2] => 987654321 //$phone2 
[botchk] => 
[tos] => on) 

// $日期=日期（ 「年/月/ d」 ）;

我確保數據匹配行數據類型...我試着改變和重寫代碼多次...沒有任何作品！它只是卡在那裏！

--------------------------------------------- ------------------------------------------ \

EDIT 服務器被凍結（或什麼..），重新啓動後它接受輸入..抱歉的麻煩..但工作6小時後，你很難直接思考...即使sql不斷變化，錯誤永遠不會改變，那是一個明確的標誌。

Answer 1

您應該用單引號括住這些值。嘗試將單引號添加到您的值。

$query = "INSERT INTO net_users VALUES (NULL,'$fname','$mname','$lname','$dob','$uname','$pasw','$phone1','$phone2','$email',NULL,NULL,NULL,'$date');"; 

您也有一個sqlinjection attack風險。建議您改爲使用bind_param()。

Answer 2

兩件事;一個很糟糕，另一個很糟糕。

1. 你忘記在字符串值中加引號，所以SQL表達式不是一個寫得很好的表達式。
2. 您首先遇到了SQL注入攻擊風險。 Please read this看看它是什麼以及如何預防它。

Answer 3

您不能只將您的變量連接到SQL查詢字符串，並期望它工作。您需要在字符串值附加引號，並確保每個字符都被正確格式化/轉義。

$query = "INSERT INTO net_users VALUES (NULL,'$fname','$mname','$lname','$dob','$uname','$pasw','$phone1','$phone2','$email',NULL,NULL,NULL,'$date');"; 

雖然，我不建議做這種方式。如果您將用戶輸入連接到SQL查詢中，您剛剛打開了SQL注入的大門。你想要做的是使用「準備好的陳述」。你要做的是將?添加到你想要變量去的查詢中。然後這些變量被傳遞給一個單獨的函數。沒有引用，沒有轉義，沒有SQL注入的擔憂。

$mysqli = new mysqli('localhost','root','','wisdom') or die("CONNECTION ERROR"); 
$query = $mysqli->prepare('INSERT INTO net_users VALUES (NULL,?,?,?,?,?,?,?,?,?,NULL,NULL,NULL,?)'); 

// No quoting or escaping needed, this passes the values separate from the query 
$query->bind_param('ssssssssss', $fname, $mname, $lname, $dob, $uname, $pasw, $phone1, $phone2, $email, $date); 

// This actually runs the query 
$query->execute();