데이터가 데이터베이스에 삽입되지 않습니다. 내가 뭘 잘못하고 있는지 확실하지 않다

Question

$name = $_POST["name"]; 
$address = $_POST["address"]; 
$city = $_POST["city"]; 
$state = $_POST["state"]; 
$zipcode = $_POST["zipcode"]; 
$country = $_POST["country"]; 
$month = $_POST["month"]; 
$day = $_POST["day"]; 

$conn = new mysqli($servername, $username, $password, $dbname); 
if ($conn->connect_error) { 
    die("Connection failed: " . $conn->connect_error); 
} 

$sql = "INSERT INTO birthdays (name, address, city, state, zipcode, country, month, day) 
VALUES ($_POST["name"], $_POST["address"], $_POST["city"], $_POST["state"], $_POST["zipcode"], $_POST["country"], $_POST["month"], $_POST["day"])"; 

if ($conn->query($sql) === TRUE) { 
    echo "You have been added to the birthday list"; 
} else { 
    echo "Error: " . $sql . "<br>" . $conn->error; 
} 
$conn->close(); 

로그인/데이터베이스에 데이터베이스 접두어를 포함해야합니까? 나는 지금 혼란 스럽다.

sacrmfuw_sjay는

Answer 1

우리는 우리의 SQL 텍스트에 리터럴 값을 포함하기 위하여려고하는 경우에, 그것은 어떤 잠재적으로 안전하지 않은 값이 제대로 될 탈출하는 것이 필수적이다없이 sjay입니다 .. 접두사입니다. mysqli_real_escape_string 기능은 우리를 위해 맞춤 작성되었습니다.

$sql = "INSERT INTO birthdays (name, address, city, state, zipcode, country, month, day)" 
    . " VALUES" 
    . " ('" . $conn->real_escape_string($_POST["name"] ) . "'" 
    . ", '" . $conn->real_escape_string($_POST["address"]) . "'" 
    . ", '" . $conn->real_escape_string($_POST["city"] ) . "'" 
    . ", '" . $conn->real_escape_string($_POST["state"] ) . "'" 
    . ", '" . $conn->real_escape_string($_POST["zipcode"]) . "'" 
    . ", '" . $conn->real_escape_string($_POST["country"]) . "'" 
    . ", '" . $conn->real_escape_string($_POST["month"] ) . "'" 
    . ", '" . $conn->real_escape_string($_POST["day"] ) . "'" 
    . ")"; 

mysqli_real_escape_string 기능 값에 사용되는 문에 포함되지 :

리터럴 값이 포함 SQL 텍스트를 만들려면, 우리는 같은 것을 할 수 있습니다. 식별자 중 하나 인 (열 이름, 테이블 이름)이 MySQL 예약어 인 경우 일반적으로 식별자를 역 따옴표 문자로 묶어 적절히 이스케이프 처리해야합니다.

---

바람직한 패턴은 SQL 텍스트의 리터럴 값을 포함하는 대신, 결합 자리와준비된 명령을 사용하는 것이다. 이 같은 정적 SQL 문 :

$sql = "INSERT INTO birthdays (name, address, city, state, zipcode, country, month, day)" 
    . " VALUES (?, ?, ?, ?, ?, ?, ?, ?)"; 

는 그 다음 문에 SQL 텍스트를 준비하고 bind_param 값을 문에 다음 문을 실행합니다.

http://php.net/manual/en/mysqli-stmt.bind-param.php