php - mysql错误:error in sql syntax

Question

这个问题已经有答案了:

How can I prevent SQL injection in PHP? (27 个回答)

已关闭 8 年前。

我想在来自维基百科页面的数据库中插入一些文本行(段落)。但是当我尝试将数据插入数据库时​​，mysql显示此错误:“您的 SQL 语法有错误；请检查与您的 MySQL 服务器版本相对应的手册，以获取使用近大写的正确语法。”谁能帮我解决这个问题..这是我到目前为止所做的...

 <?php
    $loc=$_POST["new"];
    $url1 ="https://en.wikipedia.org/w/api.php?format=json&action=query&prop=extracts&exintro=&explaintext=&titles=".$loc;
    $opf = file_get_contents($url1);
    $data = json_decode($opf, true);
    $titles = array();
    foreach ($data['query']['pages'] as $page) {
    $des = $page['extract'];

    }
    $con = mysql_connect("localhost","root","");
    if (!$con) { 
    die('Could not connect: ' . mysql_error());
     } 
    mysql_select_db("location", $con);
    $url = "http://upload.wikimedia.org/wikipedia";
    echo $sql="INSERT INTO `search`(`id`, `name`, `text`) VALUES ('$loc', '$des');";
    mysql_query($sql) or die(mysql_error()); 
    echo "1 record added";
    mysql_close($con);
    ?>

Answer 1

理想情况下，您应该在将数据输入数据库之前对其进行转义。您遇到的问题是撇号在 '$loc' 上结束 SQL 查询，因此查询实际上为:

... VALUES ('Giant's Capital',

语法高亮应该指出为什么这是一个问题:)

在输入之前使用类似:mysql_real_escape_string() 转义您的$_POST 数据。

$loc = mysql_real_escape_string($_POST['new']);