내 WordPress 테이블에 레코드를 어떻게 삽입합니까?

Question

저는 일반적으로 SQL 또는 Oracle 데이터베이스에 INSERT 문을 만드는 것에 익숙합니다.

그러나 phpMyAdmin을 사용하여 WordPress의 CustomerDB 및 사용자 지정 테이블이라는 사용자 지정 데이터베이스를 만들었습니다.

다음 코드를 사용하여 사용자 지정 테이블에 레코드를 삽입하려고합니다.

오류가 발생하지 않지만 레코드가 삽입되지 않습니다.

이 시점에서 SQL 주입 공격에 대해 걱정하지 않습니다.

내 INSERT 코드가 작동하면이를 처리 할 것입니다.

누군가 다음 코드가 WordPress의 테이블에 레코드를 삽입하지 않는 이유를 알고 있습니까? 대신 따옴표

<?php 
//make database accessible 
global $wpdb; 
// Get data 
$customername = $_POST["customername"]; 
$custaddress = $_POST["custaddress"]; 
$custcity = $_POST["custcity"]; 
$custstate = $_POST["custstate"]; 
$custzip = $_POST["custzip"]; 


// Database connection 
$conn = mysqli_connect("localhost","myuser","mypass","CustomerDB"); 
if(!$conn) { 
die('Problem in database connection: ' . mysql_error()); 
} 

// Data insertion into database 
$query = "INSERT INTO ‘CustomerDB.wp_customTable’ (‘customername’, ‘custaddress’, ‘custcity’, ‘custstate’,‘custzip’) VALUES ($customername, $custaddress, $custcity, $custstate,custzip)"; 
mysqli_query($conn, $query); 

// Redirection to the success page 
header("Location: thankyou.php"); 
?> 

Answer 1

은 성공적인 쿼리 실행을 확인하기 위해 확인하는 코드를 수정합니다. 실행 결과가 FALSE를 반환하면 오류를 검색합니다. 예를 들어

:

if (!mysqli_query($conn, $sql)) { 
    printf('Error: %s',mysqli_error($conn)); 
} 

우리에게 문제가 무엇인지 몇 가지 표시를 제공한다 mysqli_error 기능에 의해 검색된 메시지.

오류는 신비하지 않아야합니다. 우리는 뭔가 잘못 될 수 있다고 예상해야합니다. 우리 코드가 그렇게하지 않는다면, 그것의 구석에 핑키 손가락을 넣을 것입니다. Dr.Evil 스타일의 입이 있습니다. "나는 그것이 모두 계획대로 진행될 것이라고 생각합니다." "? 다음 코드가 삽입되지 않는 이유는 ..."라는 질문에

---

, "방법 :

작은 수정이 요구 된 질문에 대답을 향해 긴 길을 갈 것이라는 점을 추가 [행]을 삽입합니까 ... "

SQL 텍스트에는 몇 가지 문제점이 있습니다.

먼저 'smartquotes'를 버리십시오. 식별자를 이스케이프하려면 역 따옴표 문자로 묶습니다. 각 식별자는 별도로 묶어야합니다. CustomerDB은 데이터베이스 이름이고 wp_customTable는 테이블 이름 인 경우, 이것은 잘못된 것입니다 :

`CustomerDB`.`wp_customTable` 
^  ^^   ^

:

우리는 식별자를 인용하려는 경우

‘CustomerDB.wp_customTable’ 
^      ^

, 우리는 다음과 같이 별도로 식별자의 각을 인용

이러한 식별자는 유효하며 실제로는 백틱이 필요하지 않습니다. 이 경우 backticks를 생략 할 수 있습니다. 데모로 남겨 둘 것입니다.

- SQL 인젝션에 대한

국방 번호 1은 바인드 자리에 준비된 문을 사용하는 것입니다. 잠재적으로 안전하지 않은 값을 SQL 텍스트에 포함시키지 마십시오.

는

예 : 우리가 가해야 SQL 텍스트에 포함되는 다음 바인드 자리, 어떤 잠재적으로 안전하지 않은 값으로 준비된 문을 사용할 수없는 이유가있는 경우

는

$sql = 'INSERT INTO `CustomerDB`.`wp_customTable` (`customername`' 
    . ', `custaddress`, `custcity`, `custstate`, `custzip`)' 
    . ' VALUES (? , ? , ? , ? , ?)'; 

if($sth = mysqli_prepare($conn,$sql)) { 
    mysqli_stmt_bind_param($sth,'sssss' 
     ,$customername 
     ,$custaddress 
     ,$custcity 
     ,$custstate 
     ,$custzip 
    ); 
    if(mysqli_stmt_execute($sth)) { 
     // statement execution successful 
    } else { 
     printf("Error: %s\n",mysqli_stmt_error($sth)); 
    } 
} else { 
    printf("Error: %s\n",mysqli_error($conn)); 
} 

제대로을 사용하여 탈출 mysqli_real_escape_string 기능.

- mysqli_connect이 실패하는 경우도

는 오류 메시지가 아닌 mysql_error를 검색 할 mysqli_connect_error 기능을 사용합니다.

Answer 2

사용 역 따옴표 제 1 단계로

$query = "INSERT INTO CustomerDB.`wp_customTable`(`customername`, `custaddress`, `custcity`, `custstate`,`custzip`) VALUES ($customername, $custaddress, $custcity, $custstate, custzip)";