PHP、mysql_real_escape_string和MySQL查询

Question

我得到了一个类似于此的查询错误，但我还没有发现问题：

$str = "rob's";
...
$query ="INSERT INTO tableName (name) VALUES (mysql_real_escape_string('$str')";

编辑：

我很抱歉。我在减少代码时犯了一个错误；这更接近于我的错误：

$str = "rob's";
...
$query ="INSERT INTO tableName (name) VALUES (('".mysql_real_escape_string($str)."')";

Answer 1

mysql_real_escape_string()是PHP，而不是MySQL。你得把它从引号里拿出来

$query ="INSERT INTO tableName (name) VALUES ('".mysql_real_escape_string($str)."')";

另外，$str是一个字符串，所以在MySQL中，它也需要被qoutes包围，我添加了它们。您已经准备好了，但是由于函数需要从引号中取出来，所以必须将其移除。

Answer 2

$query ="INSERT INTO tableName (name) VALUES ('" . mysql_real_escape_string($str) . "'";

Answer 3

mysql_real_escape_string()是一个PHP函数。因此，在MySQL查询字符串中，您必须像变量一样传递它：

$query ="INSERT INTO tableName (name) VALUES ('" . mysql_real_escape_string($str) . "')";

在这里阅读更多信息：http://php.net/manual/en/function.mysql-real-escape-string.php