$ _POST ['var']をテキストとしてテーブルに取得しようとしています

Question

以下のコードで問題があります。問題を示すために簡略化されています。入力の名前は同じで、mysqlテーブルに複数の新しい行を作成する必要があるため、ループを使用します。問題は私が$ _POST ['name'] [$ i]を使用していて、テーブルが 'text？'と表示されないために受け入れられないということです。私は言ったように 、コードは大幅に簡素化されました。

for($i=0;$i<count($_POST['url']); $i++) { 
    $sql = 'INSERT INTO urls (url) VALUES ('. $_POST['url'][$i].')'; 
    if(!mysql_query($sql)) { 
    echo "error " . mysql_error(); 
    } 
} 

私はこれでrememdyしようとした -

$ sqlを= '"' $ _POST [ 'URL'] [$ i]を"。 "。 'のURL（URL）VALUES（。INSERT INTO'。 '）'）;

私はこれを行う場合、それは動作しますが、何のエラー

$sql = 'INSERT INTO urls (url) VALUES (' " hello " ')'; 

はありません、これは右、おそらく初心者のタイプミスでしょうか？これに助けてくれてありがとう。

Answer 1

は、あなたは、単に以下のようにMySQLのクエリで掲示される値を引用符で囲むを追加する必要があります

$sql = "INSERT INTO urls (url) VALUES ('". mysql_real_escape_string($_POST['url'][$i])."')"; 

Answer 2

この文を試してみてください。また、あなたが入力をエスケープしていない場合、それは大規模なSQLインジェクションの脆弱性があります：MySQLはあなたのポストの値は引用符なしの数値であることを想定していると考えているので

$data = mysql_escape_string($_POST['url'][$i]); 
$sql = 'INSERT INTO urls (url) VALUES ("'.$data.'")'; 

クエリがMySQLを破ります。

Answer 3

mysql_error（）によって返された実際のエラーメッセージがわかりましたが、SQLのクエリに$ _POST値を指定していないと思っています。 $ _POST [ 'URLは']で確認すること

$urls = (isset($_POST['url']) && is_array($_POST['url'])) ? $_POST['url'] : array(); 
foreach($urls as $url) { 
    if(!is_string($url)) { 
     continue; 
    } 
    $sql = "INSERT INTO urls (url) VALUES ('" . mysql_real_escape_string($url) . "')"; 
    if(!mysql_query($sql)) { 
     echo "error " . mysql_error(); 
    } 
} 

：

は

$sql = "INSERT INTO urls (url) VALUES ('". mysql_real_escape_string($_POST['url'][$i]) ."')"; 

Answer 4

でクリーンな方法を（とエラーが固定されている）

$sql = 'INSERT INTO urls (url) VALUES ('. $_POST['url'][$i].')'; 

を交換してみてください配列は、非配列（または存在しないキー）を配列として扱うことを防ぎます。 is_stringは、サブ配列をスローしようとしているユーザからPHPを取得して、「文字列として配列を使用する」通知をスローすることを防ぎます。エスケープはSQLインジェクションを避けることであり、追加された一重引用符はMySQLが文字列であることを知るためのものです。

Answer 5

$ _POST変数をSQL文で挿入する前に、好ましくはmysql_real_escape_string()関数を使用してSQL injection attacksに対してクエリを強化する必要があります。

Answer 6

回答はCorbinが役に立ちますが、ループ内で挿入クエリを実行しないようにしてください。

SQLクエリを1つの文字列として作成し、挿入クエリを1回起動できます。

からinsert文を変更して、テーブル（フィールド）値（1）に挿入することができます。 テーブル（フィールド）の値（1）に挿入します。

To： テーブル（フィールド）に値（1）、（2）、（3）、（4）を挿入します。

これはより最適な解決策です - しかし、mysqlはSQLステートメントをとることができる最大長を持っています。