PHP：mysqli INSERT INTO 语句不起作用 [duplicate]

欢迎来到 StackOverflow。

首先，您的代码容易受到 SQL 注入的攻击。这是一个重大缺陷，但值得庆幸的是，这是一个很容易修复的缺陷。重要的是，不要将其留给 SQL 注入，即使这仅供您使用。如果其他人设法访问它，它将确保您的数据安全，并让您养成良好的习惯。

其次，您的代码不起作用，因为您没有指定要插入到哪些列中。

以您的示例为基础，这是一个工作版本。

不要使用这个，它是易受攻击的代码

<?php 
    $link=mysqli_connect("localhost", "root", "");
    mysqli_select_db($link, "dataadventurers");
 ?>


<?php
    include "connection.php"; 
?>
<?php
    if(isset($_POST['submit1'])){
        $firstname = $_POST['first_name'];
        $lastname = $_POST['last_name'];
        $middle = $_POST['middle_initial'];
        $idnum = $_POST['id_number'];
        $email = $_POST['email_add'];
        $pass = $_POST['password'];
        $bday = $_POST['birthdate'];
        $course = $_POST['course'];
        $year = $_POST['year'];

        //If someone passes 2019'); drop table member_registration; -- for example as the year parameter, MySQL interprets the query string as two separate queries. One to insert a record and the second to drop the table and will execute both

        mysqli_query($link, "insert into member_registration (firstname, lastname, middle, idnum, email, pass, bday, course, year) values( '$firstname', '$lastname', '$middle', '$idnum', '$email', '$pass', '$bday', '$course', '$year')");;

    }
?>

更安全的变体

我有几个基于PDO的SQL便利函数，我经常使用。

他们从存储在可公开访问的文件夹结构之外的 ini 文件中获取其凭据。

该过程以关联数组的形式返回结果，返回受影响的行数。GetDataUpdateData

Ini 文件示例

host=localhost
dbname=dataadventurers
username=user
password=pass

便利功能

/*Put credential ini file path here*/
    $credentialFile = "..."; 

   function GetData($sql, $params = null, $paramtypes = null){
        //Get database connection details
        $credentialsArray = parse_ini_file($credentialFile);
        //Create PDO Instance 
        $db = new PDO('mysql:host='.$credentialsArray['host'].';dbname='.$credentialsArray['dbname'].';charset=utf8mb4', $credentialsArray['username'], $credentialsArray['password'], array(PDO::ATTR_EMULATE_PREPARES => false, PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION));
        if(is_null($params)){ //If no parameters supplied, execute the query as is
            $stmt = $db->query($sql);
            $results = $stmt->fetchAll(PDO::FETCH_ASSOC);
        }
        else{
            if(count($params) <> count($paramtypes)){ //Check that the parameter count and type count are the same
                throw new InvalidArgumentException;
            }
            $stmt = $db->prepare($sql); //Prepare the statement
            for($i=0; $i<count($params); $i++){ //Bind the parameters
                $stmt->bindValue($i+1, $params[$i], $paramtypes[$i]);
            }
            $stmt->execute(); //Execute query
            $results = $stmt->fetchAll(PDO::FETCH_ASSOC); //Return the results as an associative array
        }
        return $results;        
    }

    function UpdateData($sql, $params){
        //Get database connection details
        $credentialsArray = parse_ini_file($credentialFile);
        //Create PDO Instance 
        $db = new PDO('mysql:host='.$credentialsArray['host'].';dbname='.$credentialsArray['dbname'].';charset=utf8mb4', $credentialsArray['username'], $credentialsArray['password'], array(PDO::ATTR_EMULATE_PREPARES => false, PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION));
        try{
            $stmt = $db->prepare($sql); //Prepare the statement
            is_null($params){ //If there aren't any parameters to bind...
                $stmt->execute(); //...execute statement as is
            }
            else{
                $stmt->execute($params); //otherwise execute with the supplied parameters
            }
            $results = $stmt->rowCount(); //Return the rowcount
            return $results;
        }
        catch(PDOException $ex){ //Catch any PDO Exceptions
            return $ex->getMessage(); //Return the exception message
        }
    }

用法

用法很简单。选择数据时，传递一个 SQL 字符串、一个包含任何参数的数组和一个包含参数类型的数组。这些数组的长度必须相同。

更新/插入/删除数据时，请传递一个 SQL 字符串和一个包含参数的数组。没有参数类型要求。UpdateData

//GetData with no parameters
$results = GetData('select * from member_registration', [], []);

//GetData with one parameter of type String.
$results2 = GetData('select * from member_registration where firstname = ?', ['David'], [PDO::PARAM_STR]);

//Your insert example
$parameters = [
    $firstname, 
    $lastname, 
    $middle, 
    $idnum, 
    $email, 
    $pass, 
    $bday, 
    $course, 
    $year
];

$rowsAffected = UpdateData('insert into member_registration (firstname, lastname, middle, idnum, email, pass, bday, course, year) values(?, ?, ?, ?, ?, ?, ?, ?, ?)', $parameters);

最后的思考

您需要将数据库中的字段替换为列名。如果任何字段是自动生成的，例如自动递增的 ID 字段，请省略该字段，以便其正常工作。

其中一个参数称为 $pass。如果您将密码存储在数据库中，请始终以加密形式存储它们，最好使用 bCrypt。这个 StackOverflow 答案解释了原因/方式。