php - 以下查询有什么问题

Question

$name=$_GET['name'];
$sql="SELECT `productname`, `price` FROM `stock` WHERE productname=".$name."
 and ( userid=".$_SESSION['user_id']." or userid='100')";

基本上我是从一页获取产品名称。我正在传递查询，其中产品名称是 $name，用户 ID 是当前签名的用户 ID 或管理员用户 ID (100)。

但是我得到了错误

Notice: Undefined variable: productname in /path_to_file.php on line 431

line 431: <?php echo $productname;?>

其中 $productname=$row['productname'];

我感觉 sql 查询有问题。但是有什么问题吗？

Answer 1

$name = $_GET['name'];
$sql = sprint("SELECT `productname`, `price` FROM `stock` WHERE productname='%s'
    and ( userid=%d or userid=100);",
    mysql_escape_string($name), intval($_SESSION['user_id']));

您需要将 productname='%s' 括在单引号中。见上文。