我可以使用isset（）来控制mysql查询的执行

debugcn 发表于 Dev

斯图·帕克

我创建了一个可编辑的数据库，以帮助我自动执行每周的会员更新。每个成员每周更新9个值，这些值由$ _POST提交到辅助php进行控制。

从该php中，将发布值设置为php var，然后用于更新sql db。

mysql_select_db("web_footy1") or die(mysql_error());




// The SQL statement is built
$strSQL = "UPDATE Round_6 SET "; 

$strSQL = $strSQL . "Game1= '$Game1', ";

$strSQL = $strSQL . "Game2= '$Game2', "; 

$strSQL = $strSQL . "Game3= '$Game3', "; 

$strSQL = $strSQL . "Game4= '$Game4', "; 

$strSQL = $strSQL . "Game5= '$Game5', "; 

$strSQL = $strSQL . "Game6= '$Game6', "; 

$strSQL = $strSQL . "Game7= '$Game7', "; 

$strSQL = $strSQL . "Game8= '$Game8', "; 

$strSQL = $strSQL . "Game9= '$Game9' "; 

$strSQL = $strSQL . "WHERE  Member = '$Member' "; 

// The SQL statement is executed 
mysql_query($strSQL) or die(mysql_error()) ;

是的，我知道这需要进行SQL注入，它是一个私有站点，因此安全性可以等待atm

问题在于所有值都将同时更新，并且要更新一个值，您需要重新输入所有值，否则它们将被替换为空值。

所以我的问题是双重的。A）能够分别控制每个变量的最干净方法是什么，B）我可以吗？如果可以，如何使用isset（$ GameX）控制执行哪些查询。

例如

IF (isset($Game1)) {UPDATE Round6 SET Game1='$Game1' WHERE Member='$Member'} ;

请记住，三周前，我对编码一无所知，并在那时以html，php和sql崩溃。

Ben

我真的真的不建议您修复SQL注入。

话虽如此，您可以以编程方式向您的UPDATE子句添加条件。以下示例可能是一个示例：

<?php

$Game3 = "things";
$Game5 = "stuff";
$Game6 = "awesome";
$Member = 'ben';

$update_parts = array();
for ($game_counter = 1; $game_counter < 10; $game_counter++) {
    $variable_name = "Game" . $game_counter;
    if ( isset($$variable_name) ) { // This is like isset($Game1)
        $update_parts[] = "Game" . $game_counter . " = '" . $$variable_name . "'";
    }
}

if ( sizeof($update_parts) > 0 ) {
    $strSQL = "UPDATE Round_6 SET ";
    $strSQL .= implode(", ", $update_parts);
    $strSQL .= " WHERE Member = '$Member'";
    echo $strSQL;
}

我在顶部放了几个变量。这将产生以下SQL：

UPDATE Round_6 SET Game3 = 'things', 
  Game5 = 'stuff', Game6 = 'awesome' WHERE Member = 'ben'

编辑：如果要使用PDO，则需要将查询和参数分开。在下面的示例中，我将Query参数放入

$conn = new PDO("mysql:host=localhost;dbname=database;","username","password"); // Your Connection String

$update_parts = array();
$query_params = array();
for ($game_counter = 1; $game_counter < 10; $game_counter++) {
    $variable_name = "Game" . $game_counter;
    if ( isset($$variable_name) ) { // This is like isset($Game1)
        $update_parts[] = "Game" . $game_counter . " = ?";
        $query_params[] = $$variable_name;
    }
}

if ( sizeof($update_parts) > 0 ) {
    $strSQL = "UPDATE Round_6 SET ";
    $strSQL .= implode(", ", $update_parts);
    $strSQL .= " WHERE Member = ?";
    $query_params[] = $Member;

    // Here is where you'd run the update
    $stmt = $conn->prepare($strSQL);
    $stmt->execute($query_params); // Notice I'm passing in the parameters separately
}

本文收集自互联网，转载请注明来源。

如有侵权，请联系[email protected] 删除。