Mettre à jour la requête SQL - Définir les valeurs à la variable de chaîne PHP

Question

Cette question est probablement très triviale, mais j'ai eu du mal avec lui pendant un certain temps et j'ai également essayé de trouver des réponses en ligne et toujours des erreurs.

Essayer d'écrire une simple requête UPDATE pour PHP/MySql forme:

$sql="UPDATE mytable SET numericValue = '".$someid."', description = '".$sometext."' WHERE id='".$myid."' "; 

Alors que toutes les valeurs numériques sont transmises et mises à jour très bien, je ne peux pas obtenir le droit de description. La colonne de description est un VARCHAR et $ sometext est une chaîne et je ne peux pas l'obtenir échappé/enveloppé avec des guillemets correctement.

Answer 1

Vous devriez utiliser sprintf, cela évite la confusion des chaînes en fournissant des espaces réservés (% d pour les décimales,% s pour les chaînes). Voir le manual pour plus.

$sql= sprintf("UPDATE mytable SET numericValue = %d, description = '%s' WHERE id = %d", $someid, $sometext, $myid); 

Si $ someText vient GET/POST/.. vous devriez envelopper un mysql_real_escape_string() tout autour pour éviter l'injection SQL (ou utiliser AOP préparé des déclarations).

Answer 2

$sql="UPDATE mytable SET numericValue = '$someid' , description = '$sometext' WHERE id='$myid' "; 

Je pense que vous devez vous inquiéter de l'injection sql.