Синтаксис SQL Код ошибки 1064

Question

Мой код здесь;

$m = 0.5; 

$this->db->query("update chatusers set money = money - ".$m." where user = '".$this->input->post('member')."'"); 

и я получаю эту ошибку;

Ошибка базы данных Происходило

Номер ошибки: 1064

У Вас есть ошибка в вашем SQL синтаксиса; проверьте руководство, которое соответствует версии сервера MySQL для правильного синтаксиса, чтобы использовать рядом «где пользователь =„“» в строке 1

обновление chatusers набор деньги = деньги - где пользователя = «»

Имя файла:/главная/modenatu/public_html/бета/модели/номер модели/mupdate.php

Line: 87

Я не мог найти, как это исправить. Заранее спасибо.

Answer 1

Похоже, что $m оценивает пустую строку на основе сообщения об ошибке.

Похоже, что $this->input->post('member') также оценивает пустую строку.

update chatusers set money = money - where user = '' 
            ^   ^

Потому что если эти два оценивал на непустые строки (скажем, например, 'foo' и 'bar' соответственно), мы ожидали бы, что SQL будет так:

update chatusers set money = money - foo where user = 'bar' 
            ^^^    ^^^ 

---

К счастью , $m не оценил более гнусную строку. Такие, как money WHERE 1=1 --

Что произвело бы такое заявление:

update chatusers set money = money - money WHERE 1=1 -- foo where user = '' 

симптом проблемы является недействительным синтаксис. Реальные проблемы здесь: 1) потенциал для SQL Injection (мы не видим, какие значения содержат $ m), а 2) код вызывает недопустимый оператор SQL.

Ради всего хорошего и прекрасного в этом мире ... Я не могу подчеркнуть это достаточно ... использовать подготовленные заявления с связывания заполнителей.

Например:

$sql = 'UPDATE chatusers SET money = money - ? WHERE user = ?'; 
    $this->db->query($sql, array(0, 'me')); 

Answer 2

$m явно не имеет значения, которое вызывает у вашего запроса недопустимый синтаксис. Вы должны убедиться, что $m имеет действительное значение до, вы пытаетесь выполнить этот запрос. (FYI, $this->input->post('member') также не имеет значения, и использование этого значения неактифицирует, предоставляет вам SQL-инъекции).