sqli error with подготовить заявление

Question

это мой первый раз, используя Mysqli, и я застрял на этой проблеме около часа. Я получаю эту ошибку

mysqli_stmt::bind_param(): Number of variables doesn't match number of parameters 
in prepared statement in C:\wamp\www\WebContent\success.php on line 30 

я насчитал как 10 раз больше вопросительных знаков в подготовке заявления и есть 21, то я подсчитал s- и переменные в bind_param и есть 21 тоже. Я новичок в Mysqli, мне было интересно, если я могу получить какие-либо предложения о том, как ПОДХОД и отлаживать эту проблему, спасибо за вашу помощь

<?php 


$mysqli = new mysqli("localhost", "root","","test"); 
if (mysqli_connect_errno()) 
{ 
    printf("Connect failed: %s\n", mysqli_connect_error()); 
    exit(); 
} 


    $i=0; 

if ($stmt = $mysqli->prepare("UPDATE `table` SET `Lan_ID` = '?', `Switching` = '?', 
    `Own` = '?',`Division` = '?',`Switch_Number` = '?', 
    `Telecom_Circuit_number` = '?', `Transmitter_Frequency` = '?', 
    `Receiver_Frequency` = '?', `Band_width` = '?', `Channel` = '?', 
    `Equipment` = '?', `Power` = '?', 
    `Line_designation` = '?', `Voltage` = '?', `Phase` = '?', 
    `Modulate` = '?', `Terms` = '?', `Trap` = '?', 
    `Ltunner` = '?', `Link` = '?', 
    `Comment` = '?' ". $_GET['where'.$i])) 
    { 
     $stmt->bind_param('sssssssssssssssssssss', $_GET[$i.'LanID'],$_GET[$i.'Switching'], 
     $_GET[$i.'Own'], $_GET[$i.'Division'], $_GET[$i.'Switch_Number'], $_GET[$i.'Telecom_Circuit_number'], 
     $_GET[$i.'Trasmitter_frq'], $_GET[$i.'Receiver_frq'], $_GET[$i.'Band_width'], $_GET[$i.'Channel'], 
     $_GET[$i.'Equipment'], $_GET[$i.'Power'], $_GET[$i.'Line_designation'],$_GET[$i.'Voltage'], 
     $_GET[$i.'Phase'],$_GET[$i.'Modulate'],$_GET[$i.'Terms'], $_GET[$i.'Trap'],$_GET[$i.'Ltunner'], 
     $_GET[$i.'Link'], $_GET[$i.'Comment']);//this is line 30 btw 


    } 
    else 
    { 
     printf("Prepared Statement Error: %s\n", $mysqli->error); 

    } 
    $stmt->close(); 
?> 

Answer 1

Не ставьте параметров заполнителей в кавычки.

Но это только начало ваших проблем. Посредством интерполяции $_GET['where'.$i] в ваш запрос вы открыли атаки на SQL-инъекции. Вы полностью упустили точку безопасного программирования.

Вы не должны принимать предложение WHERE или любое выражение, стенографически из HTTP-запроса, и копировать его в строку SQL. Но вы не можете использовать параметр запроса для выражения SQL, вы можете использовать только параметр вместо одного скалярного значения.