MySQL语句中非字符串文本的引号

Question

我知道MySQL语句中的字符串文本需要包含在单引号中，如下所示：

SELECT * FROM my_table WHERE str_column='test'

我想知道是否有充分的理由在这样的引号中包括非字符串的文字，例如：

SELECT * FROM my_table WHERE int_column='1'

而不是

SELECT * FROM my_table WHERE int_column=1

用单引号包含非字符串文字有意义吗？还是只是浪费字节？

Answer 1

你说得对，没有必要引用数字文字。但我经常看到。

引用数字文本也没有坏处。当在数字上下文中使用它们时，MySQL会自动将它们转换为数字值，例如，与INT列相比或在算术表达式中使用。

我认为引用数字文字最常用的情况是将应用程序变量插入到SQL字符串中。

例如：

<?php
$num = $_POST['num'];
$sql = "SELECT * FROM my_table WHERE int_column = $num"; // not safe! SQL injection hazard!

即使“num”参数被期望为整数，恶意用户也可能传递包含额外SQL语法的字符串参数，从而利用您的应用程序。

修复可以是使用real_escape_string()，但这假设变量将位于SQL中引用的字符串中。因此，您需要在SQL表达式中引用它，然后插入转义值：

<?php
$num = $mysqli->real_escape_string($_POST['num']);
$sql = "SELECT * FROM my_table WHERE int_column = '$num'"; // safer

但是，将数值变量强制转换为普通整数也同样安全，它将删除任何非数字内容：

<?php
$num = (int) $_POST['num'];
$sql = "SELECT * FROM my_table WHERE int_column = $num"; // safe too

最后，使用查询参数是最安全的。那么您就不需要引用变量，也不需要转义它：

$num = $_POST['num'];
$sql = "SELECT * FROM my_table WHERE int_column = ?"; // totally safe
$stmt = $mysqli->prepare($sql);
$stmt->bind_param("i", $num);
$stmt->execute();

Answer 2

我对所有值使用单引号来防止将来对列的更改。例如，我们的productID曾经是INT,12。在某个时候，我们添加了一些管理人员希望拥有alpha-数值产品ID的服务。我们将productID更改为VarChar,20岁，我们的代码都没有跳过一拍。