Erreur lors de l'insertion dans la table SQL avec PHP

Question

Voici mon code:

function function() { 
$isbn = $_REQUEST["isbn"]; 
$price = $_REQUEST["price"]; 
$cond = $_REQUEST["cond"]; 

$con = mysql_connect("localhost","my_usernam", "password"); 
if (!$con) die('Could not connect:' . mysql_error()); 
mysql_select_db("my_database",$con); 

$sql="INSERT INTO 'Books' (isbn, price, condition) 
VALUES ('$isbn','$price','$cond')"; 


if (!mysql_query($sql,$con)) 
{ 
die('Error: ' . mysql_error()); 
} 

mysql_close($con); 
return "It works"; 

Mais quand exécuter résulte:

Error: You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near ''Books' (isbn, price....

Quelqu'un sait pourquoi cela se passe?

Answer 1

noms de table envelopper dans des accents graves, pas de guillemets, et assurez-vous d'échapper à votre entrée pour la sécurité:

$sql="INSERT INTO `Books` (`isbn`, `price`, `condition`) 
VALUES ('" . mysql_real_escape_string($isbn) . "', 
     '" . mysql_real_escape_string($price) . "', 
     '" . mysql_real_escape_string($cond) . "')"; 

Answer 2

Vous devez utiliser des apostrophes inverses au lieu de guillemets simples pour les noms de table et sur le terrain:

$sql="INSERT INTO `Books` (`isbn`, `price`, `condition`) 
    VALUES ('$isbn','$price','$cond')"; 

fonctionnera.

ps. pour éviter toutes sortes de failles de sécurité désagréables, échapper aux champs de saisie avec:

$isbn = mysql_real_escape_string($_REQUEST["isbn"]); 
// etc etc for all fields