Вставьте в БД с защитой от инъекций

Question

, пожалуйста, помогите мне, я пытаюсь вставить в БД с защитой от инъекций, и я нашел пример на w3schools, но это не работает для меня. Соединение правильное и работает. Поскольку я новичок в SQL и программировании вообще, я не знаю, что не так с этой Вставкой. Пожалуйста, может кто-нибудь помочь? большое спасибо.

Мой PHP для вставки:

<?php 

$servername = "localhost"; 
$username = "root"; 
$password = ""; 
$dbname = "dbname"; 

// Create connection 
$conn = new mysqli($servername, $username, $password, $dbname); 
if ($conn->connect_error) { 
    die("Connection failed: " . $conn->connect_error); 
} 
echo "<p>Connected successfully</p>"; 

$From = $_GET['From']; 
$To = $_GET['To']; 
$Type = $_GET['Type']; 
$text = $_GET['text']; 


$stmt = $conn->prepare("INSERT INTO orders (from_lang, to_lang, tex) 
VALUES (:fr, :to, :tex)"); 

$stmt->bindParam(':fr', $From); 
$stmt->bindParam(':to', $To); 
$stmt->bindParam(':tex', $text); 
$stmt->execute(); 


?> 

Answer 1

Вы смешивания базы данных API. Если вы хотите использовать MySQLi код будет выглядеть следующим образом:

<?php 

$servername = "localhost"; 
$username = "root"; 
$password = ""; 
$dbname = "dbname"; 

// Create connection 
$conn = new mysqli($servername, $username, $password, $dbname); 
if ($conn->connect_error) { 
    die("Connection failed: " . $conn->connect_error); 
} 
echo "<p>Connected successfully</p>"; 

$From = $_GET['From']; 
$To = $_GET['To']; 
$Type = $_GET['Type']; 
$text = $_GET['text']; 


$stmt = $conn->prepare("INSERT INTO orders (from_lang, to_lang, tex) 
VALUES (?,?,?)"); 
$stmt->bind_param('sss', $From,$To,$text); 
$stmt->execute(); 


?> 

Примечание Я изменил заполнитель для каждого параметра ? и изменен на bind_param() функции, где, вместо отдельного вызова для каждого параметра (который вы можете сделать) Я использовал один вызов функции, в котором я указываю type of variable to be inserted, а затем переменную для каждого заполнителя.