Apostrophe не входит в базу данных SQL

Question

Я использую PHP для подключения к базе данных SQL с помощью sqlsrv драйверов. Однако у меня возникла проблема:

$string = "Home"; 
$DBH->prepare("INSERT INTO table_name (column_name) VALUES ('" .$string. "')"); 
$DBH->execute(); 

Как это работает?

$string = "Home's"; 
$DBH->prepare("INSERT INTO table_name (column_name) VALUES ('" .$string. "')"); 
$DBH->execute(); 

Но это не так?

База данных SQL, похоже, не принимает апостроф в переменной $string. В прошлом я использовал бы mysql_real_escape_string, но это не вариант.

Answer 1

Это происходит потому, что вы используете подготовленное заявление ... но не готовите какой-либо вход, а просто хлопая значение в SQL. Глядя на нее, должны понять:

Пример 1:

$DBH->prepare("INSERT INTO table_name (column_name) VALUES ('Home')"); 

экс 2:

$DBH->prepare("INSERT INTO table_name (column_name) VALUES ('Home's')"); 

Посмотрите, как ваш процитировать теперь перепутались?

Правильный способ сделать это состоит в acutally ИСПОЛЬЗОВАТЬ функциональность подготовленной инструкции по:

$string = "Home's"; 
$DBH->prepare("INSERT INTO table_name (column_name) VALUES (:column_name)"); 
$DBH->bindParam(':column_name', $string); 
$DBH->execute(); 

Обратите внимание, как ваше заявление сначала приготавливают с параметром :column_name готов принять значение. Затем bindParam вводит значение и выполняет его.

Теперь даже можно повторно использовать готовить с новыми значениями:

$string = "Home's Holmes is homing"; 
$DBH->execute(); 

Answer 2

Я думаю, вам нужно избежать апострофа, используя двойной апостроф. после того, как вы сделаете вставку, проверьте данные в таблице, она должна показывать только один апостроф.

$string = "Home''s"; 
$DBH->prepare("INSERT INTO table_name (column_name) VALUES ('" .$string. "')"); 
$DBH->execute(); 

удачи ...

Answer 3

sqlsrv documentation page есть достойные примеры того, как использовать подготовленные заявления:

$sql = "INSERT INTO table_name (column_name) VALUES (?)"; 
$params = array("Home's");  
$stmt = sqlsrv_query($conn, $sql, $params);