Quel est le problème avec cette requête?

Question

Quelqu'un me aider:

$query = "INSERT INTO tbl_users(user, password, password_def, userid, level 
      , regdate, lastdate, email) VALUES('$username', sha1('$password') 
      , sha1('$password'), '$userid', '0', NOW(), NOW(), '$email');"; 

$userid est un identifiant de md5 ramdon.

Il me donne cette erreur:

posttokenError: Account not created You have an error in your SQL syntax; 
    check the manual that corresponds to your MySQL server version for the right 
    syntax to use near '\'esck21\', sha1(\'password\'), sha1(\'password\'), 
    \'14bd25cbe111c2975232b33ee8c2' at line 1 

Je pense que je vais avoir une crise cardiaque. Merci.

Answer 1

A en juger par le message d'erreur, il semble que vous pourriez appelez une sorte de fonction échappant à toute requête , tels que addslashes($query) ou mysql_real_escape_string($query). Cela permettra d'échapper chaque citation dans la requête, quand vraiment ce que vous voulez faire est seulement d'échapper les citations qui sont à l'intérieur de vos variables.

Si tel est le cas, alors vous voulez faire quelque chose comme ceci:

$query = "INSERT INTO tbl_users(user, password, password_def, userid, level, 
regdate,lastdate, email) VALUES('".mysql_real_escape_string($username)."', 
sha1('".mysql_real_escape_string($password)."'), 
sha1('".mysql_real_escape_string($password)."'), 
'".mysql_real_escape_string($userid)."', '0', 
NOW(), NOW(), '".mysql_real_escape_string($email)."')"; 

Cela va bien échapper à vos données sans échapper à tort le reste de la requête. Une fois que vous avez fait cela, n'exécutez pas $query comme une chaîne entière à travers d'autres formes d'échappement.

Answer 2

Vous devez ACCENT GRAVE (`) le champ Mot de passe:

$query = "INSERT INTO `tbl_users` (`user`, `password`, `password_def`, `userid` 
       , `level`, `regdate`, `lastdate`, `email`) 
      VALUES('$username', 'sha1($password)', 'sha1($password)', '$userid' 
       , '0', NOW(), NOW(), '$email');"; 

Vous devriez toujours backtick vos champs, des tables et des bases de données.

Encore une chose: faites attention à SQL Injections, utilisez mysql_real_escape_string(). Après une discussion, je suis convaincu que votre problème réside dans l'utilisation de vos citations, vérifiez la réponse de zombat.