Что случилось с этим вопросом?

Question

Кто-то мне помочь:

$query = "INSERT INTO tbl_users(user, password, password_def, userid, level 
      , regdate, lastdate, email) VALUES('$username', sha1('$password') 
      , sha1('$password'), '$userid', '0', NOW(), NOW(), '$email');"; 

$userid является ramdon md5 идентификатор.

Это дает мне эту ошибку:

posttokenError: Account not created You have an error in your SQL syntax; 
    check the manual that corresponds to your MySQL server version for the right 
    syntax to use near '\'esck21\', sha1(\'password\'), sha1(\'password\'), 
    \'14bd25cbe111c2975232b33ee8c2' at line 1 

Я думаю, что я буду иметь сердечный приступ. Спасибо.

Answer 1

Судя по сообщению об ошибке, это выглядит, как вы могли бы называть какие-то избежать функции на весь запрос, такие как addslashes($query) или mysql_real_escape_string($query). Это позволит избежать каждой цитаты в запросе, когда действительно то, что вы хотите сделать, - это избежать только кавычек, находящихся внутри ваших переменных.

Если это так, то вы хотите делать что-то вроде этого, вместо:

$query = "INSERT INTO tbl_users(user, password, password_def, userid, level, 
regdate,lastdate, email) VALUES('".mysql_real_escape_string($username)."', 
sha1('".mysql_real_escape_string($password)."'), 
sha1('".mysql_real_escape_string($password)."'), 
'".mysql_real_escape_string($userid)."', '0', 
NOW(), NOW(), '".mysql_real_escape_string($email)."')"; 

Это будет правильно избежать данных без ошибочно спасаясь от остальной части запроса. Как только вы это сделаете, не запускайте $query как целую строку с помощью других форм экранирования.

Answer 2

Вы должны кавычка (`) поле пароля:

$query = "INSERT INTO `tbl_users` (`user`, `password`, `password_def`, `userid` 
       , `level`, `regdate`, `lastdate`, `email`) 
      VALUES('$username', 'sha1($password)', 'sha1($password)', '$userid' 
       , '0', NOW(), NOW(), '$email');"; 

Вы всегда должны кавычкой своих полей, таблицы и базы данных.

Еще одна вещь: обратите внимание на SQL Injections, используйте mysql_real_escape_string().

---

После некоторого обсуждения я убежден, что ваша проблема заключается в использовании вашего цитирования, проверьте зомбат.