Surround chaîne avec des citations

Plutôt que d'insérer la valeur directement dans la requête, utilisez les requêtes préparées et des paramètres, qui ne sont pas vulnérables à L'injection SQL.

$query = $db->prepare('SELECT name,location FROM events WHERE date >= ?');
$query->execute(array($startDate));

$insertContact = $db->prepare('INSERT INTO companies (company_name, country, ...) VALUES (?, ?, ...)');
$insertContact->execute(array('SMERSH', 'USSR', ...));

La création d'un objet PDO (qui se connecte également à la base de données et est donc une contrepartie à mysql_connect) est simple:

$db = new PDO('mysql:host=localhost;dbname=db', 'user', 'passwd');

Vous ne devriez pas vous disperser dans tous les scripts où vous voulez une connexion DB. Pour une chose, c'est plus d'un risque de sécurité. Pour une autre, votre code sera plus sensible aux fautes de frappe. La solution répond à la fois à des questions de: créer une fonction ou une méthode qui met en place la connexion DB. Par exemple:

function localDBconnect($dbName='...') {
    static $db = array();
    if (is_null($db[$dbName])) {
        $db[$dbName] = new PDO("mysql:host=localhost;dbname=$dbName", 'user', 'passwd');
        $db[$dbName]->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);
    }
    return $db[$dbName];
}

Si vous travaillez avec un réseau de plus de deux ou trois éléments, vous devez utiliser des boucles ou des fonctions de tableau plutôt qu'une longue séquence de déclarations similaires, comme cela est fait dans l'exemple de code. Par exemple, la plupart de votre échantillon peut être remplacé par:

$array = array();
foreach ($_POST as $key => $val) {
    $array[$key] = "'" . mysql_real_escape_string(stripslashes($val)) . "'";
}

Voici un autre exemple complet de création d'une requête d'insertion. C'est loin d'être prêt pour la production, mais il illustre les principes de base.

$db = localDBconnect();

//map input fields to table fields
$fields = array(
  'company' => 'company_name',
  'country' => 'country',
  'lang' => 'chat_language',
  'fname' => 'contact_firstname',
  'lname' => 'contact_lastname',
  'email' => 'email',
  'land' => 'tel_fix',
  'mobile' => 'tel_mob',
  'addr' => 'address',
  'rating' => 'rating',
);
if ($missing = array_diff_key($fields, $_POST)) {
    //Form is missing some fields, or request doesn't come from the form.
    ...
} else {
    $registration = array_intersect_key($_POST, $fields);

    $stmt = 'INSERT INTO `dbname`.`Companies` (`' 
        . implode('`, `', $fields) . '`) VALUES (' 
        . implode(', ', array_fill(0, count($registration), '?')) . ')';
    try {
        $query = $db->prepare($stmt);
        $query->execute(array_values($registration));
    } catch (PDOException $exc) {
        //log an 
        error_log($exc);
        echo "An error occurred. It's been logged, and we'll look into it.";
    }
}

Pour le rendre prêt pour la production, le code devrait être remaniée dans des fonctions ou des classes qui se cachent tout ce que la base de données connexes provenant du reste du code, ce qu'on appelle un "couche d'accès aux données". L'utilisation de $fields montre une façon d'écrire le code qui va travailler pour arbitraire des structures de table. Recherchez "Modèle-Vue-Contrôleur" architectures pour plus d'informations. Aussi, la validation doit être effectuée.

OriginalL'auteur outis

Créer votre propre.

function addQuotes($str){
    return "'$str'";
}

OriginalL'auteur Phoexo

Ce n'est pas une fonction, mais c'est le premier post qui revient à google lorsque vous tapez "php envelopper chaîne de caractères entre guillemets". Si quelqu'un veut juste envelopper d'une chaîne existante entre guillemets, sans l'exécuter dans une fonction, d'abord, voici la syntaxe correcte:

echo $var   //hello

$var = '"'.$var.'"';

echo $var   //"hello"

OriginalL'auteur Brian Powell