php中分离的mysql语句查询

Question

因此，我可以在mysql内部成功运行以下语句。

SET @fname = 'point1';
SELECT * FROM country WHERE name=@fname;`

但是当我试图像这样通过php传递查询并运行它时，我在第二行得到了一个错误

$query = "SET @fname = 'point1';";

$query  .=  "SELECT * FROM country WHERE name=@fname;";

Answer 1

我不确定为什么它会失败，但与其用MySQL变量编写，为什么不使用PHP变量呢？

换句话说，

$fname = 'point1';
$query = "select * from country where name = '$fname'";

当然，通常的SQL注入警告也适用。

Answer 2

在不使用特殊函数的情况下，不能通过PHP的mysql库运行多个语句。但是您的SQL变量应该在您的连接中保持不变，所以不是连接字符串然后运行一次，而是单独执行每条语句。

Answer 3

作为一种安全措施，PHP的mysql驱动程序不允许从单个查询函数调用执行多个查询。这是对最糟糕的SQL注入攻击的部分缓解，使得经典的XKCD Bobby Tables攻击无效。

这并不是说它使注入攻击变得不可能--它只是使多查询版本的攻击变得不可能。