html - 我可以通过 HTML 表单将 MYSQL 函数作为值传递吗？

Question

我有一个 HTML 表单，用于提交一些 SQL 数据。我想将 MYSQL 函数 LAST_INSERT_ID() 作为值传递，但是当我这样做时，在插入时会添加单个刻度线，并且会失败，就像“LAST_INSERT_ID()”一样。

我希望能够使用此函数，以便我可以调用该 ID。

这个函数可以成功传递吗？

Answer 1

不，您不能传递 SQL 代码而不是值并让它在服务器上自动执行。

(你能想象它是如何被不怀好意的人使用的吗......？)

您可以发送一个特殊的“神奇”值，服务器上的代码可以识别该值，并将查询更改为使用 last_insert_id() 作为该值。 (您可以使用函数名称作为魔术值，但您可能应该使用不太明显的东西。)

要在这样的查询中插入代码，您需要动态创建 SQL 查询。动态创建查询时，请确保正确转义值，以便代码不会受到 SQL 注入(inject)攻击。