php - 带有 $i 和 $_POST 值的 SQL 循环

Question

我正在尝试循环访问表单中的多个结果，但无法完全正确。

  for ($i=1;$i<$total;i++)
    {
     mysql_query("INSERT INTO MYSQL(value1,value2,value3) VALUES('{$i}','{$_POST['$iH']}', '{$_POST['$iA']}'");
    }

我希望 $_POST['$iH'] 与 $_POST['1H'] 相同，$_POST['2H'] , $_POST['3H'] 等

Answer 1

像这样:

for ($i = 1; $i < $total; $i++) { // <--- You had a typo here
   $sql  = "INSERT INTO MYSQL(value1,value2,value3) ";
   $sql .= "VALUES('{$i}','" . $_POST[$i . 'H'] . "', '" . $_POST[$i . 'A'] . "')";
   mysql_query($sql);
}

但是，有两个大问题。

多个查询

天哪，太浪费了!改为发送一个:

$rows = Array();
for ($i = 1; $i < $total; $i++) {
   $rows[] = "('{$i}','" . $_POST[$i . 'H'] . "', '" . $_POST[$i . 'A'] . "')";
}

$sql  = "INSERT INTO MYSQL(value1,value2,value3) VALUES('" . implode("','", $rows) . "')";
mysql_query($sql);

SQL注入(inject)

令我感到困惑的是，在 2011 年，人们仍然不明白这一点。

如果您要坚持使用 the ancient mysql API (甚至不是 the OO version?! )而不是 PDO ，养成清理输入的习惯:

$rows = Array();
for ($i = 1; $i < $total; $i++) {
   $rows[] = "('{$i}'," . 
             "'" . mysql_escape_string($_POST[$i . 'H']) . "'," .
             "'" . mysql_escape_string($_POST[$i . 'A']) . "')";
}

$sql = "INSERT INTO MYSQL(value1,value2,value3) VALUES('" . implode("','", $rows) . "')";
mysql_query($sql);

好吧，如果你的 API 中没有多查询支持，它不太可能在这里给你带来很大的麻烦，但它可以在身份验证例程中做到。在这方面习惯于正确编写脚本。