問題與mysql_real_escape_string

Question

我有以下查詢：
SELECT * FROM ships WHERE shipCode="SP"
SELECT * FROM ships WHERE shipCode=\"SP\"

第一工作正常，第二個是在第一個字符串調用mysql_real_escape_string的結果，不能正常工作，並給出了無用的錯誤消息#1064 - You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near '\"SP\"' at line 1

它有什麼問題？

shipCode是VARCHAR（2）

Answer 1

你不應該叫mysql_real_escape_string上整個字符串。您只在值上使用它，並將其連接到查詢中。

錯誤：

$query = 'SELECT * FROM ships WHERE shipCode="' . $var . '"'; 
$query = mysql_real_escape_string($query); 

右：

$query = 'SELECT * FROM ships WHERE shipCode="' . mysql_real_escape_string($var) . '"'; 

更妙的是：Prepared statements.

Answer 2

你需要有mysql的設置使用mysql_real_escape字符串之前有效的連接。像這樣做

$attr="sp"; 
Select * from ships where shipcode = '" . mysql_real_escape_string($attr) . "';