php - 以正确的方式在查询中添加变量

Question

为什么要这样做..

$fruit_type = "banana";
mysql_real_escape_string($fruit_type);

$query = "SELECT * FROM posts WHERE fruit = " . $fruit_type . ";    

什么时候可以做到这一点..

$fruit_type = "banana";
mysql_real_escape_string($fruit_type);

$query = "SELECT * FROM posts WHERE fruit = $fruit_type;

我知道整数应该用单引号括起来，但是直接添加一个包含字符串的变量可以吗？

Answer 1

如果这是您的问题，直接添加不带引号(和值中的转义引号)的字符串将不有效。

以下将用于整数，前提是您在数字字段上进行匹配，但它不能用于字符串:

$query = "SELECT * FROM posts WHERE fruit = $fruit_type";

要匹配字符串，您必须将它们括在单引号内，并转义出现在值内的单引号。以下将不会转义包含在传递的变量中的引号:

$query = "SELECT * FROM posts WHERE fruit = '$fruit_type'";

至少，你应该这样做:

$query = "SELECT * FROM posts WHERE fruit = " . mysql_real_escape_string($fruit_type); 

并在第一时间阅读这些内容:

http://php.net/manual/en/pdo.prepared-statements.php