Как передать значения моего запроса из mysqli_fetch_array?

Question

Я пытаюсь вставить значения в таблицу в моей базе данных. Первый параметр - это непустая переменная, следующие два - это два столбца, которые я хочу передать. Что не так с моей логикой здесь.

$query = "SELECT cnum, cname FROM course WHERE specialization = '0'"; 
$result = mysqli_query($conn,$query); 

if (!$result) die ("Database access failed: " . $conn->error); 

$rows = $result->num_rows;  
for ($j =0; $j<$rows;++$j) { 

    $row = mysqli_fetch_array($result); 
    $query = "INSERT INTO student_schedule VALUES ('$studentID', '$row[0]', '$row[1]', '0')"; 

    $result = $conn->query($query); 
    if (!$result) die ("Database access failed: " . $conn->error); 

} 

Answer 1

Ваше решение

<?php 
$query = "SELECT cnum, cname FROM course WHERE specialization = '0'"; 
$result = mysqli_query($conn,$query); 
if (!$result) die ("Database access failed: " . $conn->error); 

while ($row = mysqli_fetch_array($result)) { 
    $insertQuery = "INSERT INTO student_schedule VALUES ('" . $conn->real_escape_string($studentID) . "', '" . $conn->real_escape_string($row[0]) . "', '" . $conn->real_escape_string($row[1]) . "', '0')"); 
    $insert = $conn->query($insertQuery); 
    if (!$result) die ("Database access failed: " . $conn->error); 
} 
?> 

Кроме того, как правило, я предлагаю вам не смешивать MySQLi процедурный код с объектно-ориентированного кода. Наконец, я также предлагаю удалить ошибку, выводящую $conn->error, вместо этого возьмите ошибку и распечатайте собственное сообщение об ошибке. Это уменьшает атаки на инъекции.

Answer 2

Ваш код уязвим для SQL Injections, что может быть причиной его неправильной работы.

Вы должны экранировать данные, прежде чем включать его в запрос SQL:

for ($j =0; $j<$rows;++$j) { 

    $row = mysqli_fetch_array($result); 
    $query = $conn->prepare("INSERT INTO student_schedule VALUES (?, ?, ?, '0')"; 
    $query->bind_param('iss', $studentID, $row[0], $row[1]); 
    $result = $query->execute(); 
    if (!$result) die ("Database access failed: " . $conn->error); 

} 

Вы можете найти более подробную информацию о bind_param() функции в PHP manual.