php - mysqli_query 中的正确引用

Question

我的查询有问题。

$test = "Don't look at me";

mysqli_query("INSERT INTO testtable SET testfield = '".$test."' ");

注意字符串上有一个单引号。当我执行它时，它会返回类似

的错误

您的 SQL 语法有误；查看与您的 MySQL 服务器版本相对应的手册，了解在 near 't look at me 中使用的正确语法 ...
如果我删除字符串中的单引号，它可以正常工作。那么如何在不删除单引号的情况下将字符串保存到数据库中呢？

Answer 1

您可以使用 mysqli_real_escape_string()。它是安全的，还可以防止您使用 sql injection 进行查询。还有 backtick 中的 table name 和 column name

$test = "Don't look at me";

$val=mysqli_real_escape_string($con,$test); //here you can pass your connection variable

mysqli_query("INSERT INTO `testtable` SET `testfield` = '".$val."' ");

阅读文档 mysql_real_escape_string()