php - 您的 SQL 语法有错误；检查与您的 MariaDB 服务器相对应的手册， '' 文章的 WHERE (`title` LI

Question

我的代码遇到此问题。

You have an error in your SQL syntax; check the manual that corresponds to your MariaDB server version for the right syntax to use near ''articles' WHERE (`title` LIKE '%EPA%') OR (`text` LIKE '%EPA%')' at line 1

这是我的代码:

 $raw_results = mysqli_query($conn, "SELECT * FROM 'articles'
            WHERE (`title` LIKE '%".$query."%') OR (`text` LIKE '%".$query."%')") or die(mysqli_error($conn));

Answer 1

导致错误的直接原因可能是您将表名articles放入单引号中。我们可以解决这个问题并继续，但现在是了解准备好的语句的好时机，它可以解决代码中的另一个问题。查询字符串的另一个主要问题是您是通过字符串连接构建的。这使得外部人员可能注入(inject)恶意 SQL 片段，以运行您可能不希望运行的命令。考虑一下代码的更新版本:

$query = '%'.$query.'%';
$stmt = $mysqli->prepare("SELECT * FROM articles WHERE title LIKE ? OR text LIKE ?");
$stmt->bind_param("ss", $query, $query);
$stmt->execute();
$raw_results = $stmt->get_result();