php - 有人能告诉我这个 MySQL 查询有什么问题吗？

Question

我正在使用的此查询返回此表中的所有数据。我想搜索一个确切的 ID 号并让它只返回该结果。另外，如何在这里实现 mysql_real_escape_string()？

谢谢!

$term = $_POST['term'];

$sql = mysql_query("select * FROM patient WHERE id_number LIKE '%$term%'");

while ($row = mysql_fetch_array($sql)){

    echo 'ID: '                 .$row['id'];
    echo '<br/> First Name: '   .$row['first_name'];
    echo '<br/> Last Name: '    .$row['last_name'];
    echo '<br/> Business Name: '    .$row['business_name'];
    echo '<br/> ID Number: '    .$row['id_number'];
    echo '<br/><br/>';
} 
?>

Answer 1

使用:

$query = sprintf("SELECT p.*
                    FROM PATIENT p
                   WHERE p.id_number = '%s'",
                  mysql_real_escape_string($_POST['term']));

$result = mysql_query($query)

while($row = mysql_fetch_array($sql)) { ...

引用:

• sprintf: http://php.net/manual/en/function.sprintf.php