用户更新 MySQL 数据库条目的 PHP 表单

Question

我试图允许用户使用 PHP 表单添加新记录并更新 MySQL 数据库中的现有字段。

我已经构建了表单，用户可以添加新记录，但是当我修改 $add 函数以使用 UPDATE 而不是 INSERT INTO 时，它会使用已输入表单的值来更新所有记录仅包含已编辑的内容。

完整代码在这里: http://pastebin.com/s0TBUYgK

我尝试将第 20 行上的 INSERT INTO 查询替换为的 UPDATE 查询是:

$add = "UPDATE albums SET name = '$name', artist = '$artist', year = '$year'";

Answer 1

您没有 where 子句来将更新限制为仅编辑正在编辑的一条记录，例如...

UPDATE albums SET .... WHERE id=$id;
                       ^^^^^^^^^^^^

请记住，sql 往往是“指定的越少，得到的越多”。

鉴于这种基本错误，我猜测您还对 $name、 中的数据进行了NO清理和转义$artist 和 $year，这意味着您的代码容易受到 SQL injection attacks 的攻击。 .