PDO не вставляет после цитаты

Question

Я пытаюсь избежать SQL-инъекции на моей странице.

// Connect to database server and select database 
$connection = new PDO("mysql:dbname=tt8888;host=mysql.tt8888.com", "tt8888", "ttnopassword"); 
// Quote data to prevent SQL injection 
$name = $connection->quote($name); 
// Insert now   
$connection->query("INSERT INTO Contact (name, eeeee, llll, mmmmm, iiiii) VALUES ('$name','$eeeee','$llll','$mmmmm','$iiiii');"); 

Без quote(), он вставляет только штраф. И используя print $name;, quote() часть кажется работа хорошо. Почему в базу данных ничего не добавлено после использования quote()?

Answer 1

PDO::quote будет размещать одинарные кавычки вокруг ваших значений. Поэтому вам не нужно делать это самостоятельно в своем SQL.

Хотя я настоятельно рекомендую вам перейти на использование prepare() с именованными параметрами.

Answer 2

Не использовать PDO::quote. Гораздо лучше использовать параметризованные запросы.

$stmt = $connection->prepare("INSERT INTO Contact (name, e, l, m, i) VALUES (?, 
    ?, ?, ?, ?)"); 
// This will quote all of the values for you 
$stmt->execute(array($name, $eeeee, $llll, $mmmm, $iiiii)); 

Вы также можете использовать bind методы (bindParam или bindValue) вместо передачи аргументов непосредственно execute. Это позволит вам указать типы данных, если это необходимо, но похоже, что все они должны быть строками.