Цепочки ошибок синтаксиса SQL

Question

Я пытаюсь создать форму, которая записывается в базу данных mysql с использованием php и html. После отправки формы я получаю ошибку

MySQL error: You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near '', '1', '1362154007', '127.0.0.1'' at line 2

код в файл представления РНР

<?php 
require 'connection.php'; 
$ip = $_SERVER['REMOTE_ADDR']; 
$sql="INSERT INTO entries (summoner, role, level, time, ip) 
VALUES ('" . mysql_real_escape_string($_POST['summoner']) . "', " . mysql_real_escape_string($_POST['role']) . "', '" . intval($_POST['level']) . "', '" . time() . "', '" . $ip . "'"; 
if (!mysql_query($sql)) die("MySQL error: " . mysql_error()); 
echo "1 record added"; 
?> 

и код линии двух является

<?php 
$con = mysql_connect("localhost", "ratchet132", "password", "lookingforq") or die(mysql_error()); 
mysql_select_db("lookingforq", $con) or die(mysql_error()); 
header("Content-Type: text/html; charset=utf-8"); 
mysql_set_charset("utf8"); 
mb_internal_encoding("UTF-8"); 
?> 

Ошибка возникает только с целыми числами которые не представлены html-формой (хотя уровень представлен ею, но, похоже, по той же причине, что и другие, а не с формами). Я думаю, что это, вероятно, ошибка в том, как моя таблица MYSQL настроена, но я не могу понять, что я сделал неправильно. Любая помощь была бы потрясающей.

Answer 1

есть дополнительный апостроф в вашем целочисленном значении,

VALUES ('" . mysql_real_escape_string($_POST['summoner']) . "', " . mysql_real_escape_string($_POST['role']) . "', '" . intval($_POST['level']) . "', '" . time() . "', '" . $ip . "'"; 
                               ^HERE 

Мое предложение, чтобы сохранить значения в переменном первых, так что легко отлаживать код, например

$summoner = mysql_real_escape_string($_POST['summoner']); 
$role = mysql_real_escape_string($_POST['role']); 
$intV = intval($_POST['level']); 
$sTime = time(); 
$ip = $_SERVER['REMOTE_ADDR']; 
$sql="INSERT INTO entries (summoner, role, level, time, ip) 
     VALUES ('$summoner', $role, $intV, $sTime,'$ip')')"; 

Использования PDO или MySQLi, чтобы вы могли параметризовать запрос. В приведенной ниже ссылке говорится о SQL Injection, но также показано использование PDO и MySQLi Расширение.

• How to prevent SQL injection in PHP?

Answer 2

Почему вы заключаете INT значение в кавычках?

'" . intval($_POST['level']) . "' 

Answer 3

Вам не хватает '. Попытка:

$sql="INSERT INTO entries (summoner, role, level, time, ip) 
VALUES ('" . mysql_real_escape_string($_POST['summoner']) . "', '" . mysql_real_escape_string($_POST['role']) . "', '" . intval($_POST['level']) . "', " . time() . ", '" . $ip . "'";