データベースに挿入する方法（構文エラー）

Question

Helo。次のINSERT INTOクエリを実行するのに問題があります。 SELECTは正常に動作します。間違いはどこですか？あなたの表の列はクォートすべきではない

Error: SQLSTATE[42000]: Syntax error or access violation: 1064 You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near ''id', 'reg_date', 'szoveg') VALUES (NULL, CURDATE(), 'x')' at line 1

$servername = "localhost"; 
$username = "root"; 
$password = "pass"; 
$dbname = "db"; 

try { 
    $conn = new PDO("mysql:host=$servername;dbname=$dbname", $username, $password); 
    $conn->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION); 
    $stmt = $conn->prepare("SELECT * FROM Notes"); 
    $stmt->execute(); 

    $result = $stmt->setFetchMode(PDO::FETCH_ASSOC); 

if(isset($_POST["szoveg"])){ 
     $query = "INSERT INTO Notes ('id', 'reg_date', 'szoveg') VALUES (NULL, CURDATE(), '".$_POST["szoveg"]."')"; 

     $stmt = $conn->prepare($query); 
     $stmt->execute(); 

} 

Answer 1

単一引用符（'）は、SQLのスティリングリテラルを示します。 SQL文SQLインジェクション攻撃に対して脆弱にコードを残しを生成するために、文字列の連結のを使用して
：

$query = "INSERT INTO Notes (id, reg_date, szoveg) VALUES (NULL, CURDATE(), '".$_POST["szoveg"]."')"; 

必須のコメント：このようなカラム名などの識別子を参照するには、裸の単語を使用する必要があります。 代わりにprepareds statementを使用することを検討する必要があります。

Answer 2

：

は

PHPは、このエラーメッセージが戻っています。

$query = "INSERT INTO Notes (id, reg_date, szoveg) VALUES (NULL, CURDATE(), '".$_POST["szoveg"]."')";