PHP数据库编辑更新时出现mysqli_sql_exception语法错误排查求助

嘿，我一眼就发现你遇到的问题啦！从错误信息里的SQL片段near 'l;''', inf = 'gjuhkl;l;', rep='' WHERE id = '1''就能看出来：用户输入的内容里包含了单引号，直接拼接到SQL语句后破坏了SQL的语法结构，同时这还带来了非常危险的SQL注入漏洞。

问题根源 #

你当前的代码直接把$_POST、$_GET里的用户输入变量（比如$top、$inf）拼进SQL字符串里：

$sql = "UPDATE quiz SET phn = '$phn', top = '$top', inf = '$inf', rep='$rep' WHERE id = '$id'";

当用户输入类似l;''这样带单引号的内容时，SQL语句会变成：

UPDATE quiz SET phn = 'xxx', top = 'l;''', inf = 'gjuhkl;l;', rep='' WHERE id = '1'

这里的额外单引号让数据库无法正确识别字符串的结束位置，直接抛出语法错误。而且这种写法完全没有防御SQL注入的能力，攻击者可以轻易篡改你的数据库数据。

正确的解决方案：使用预处理语句 #

预处理语句（Prepared Statements）是PHP操作数据库的标准安全做法，它会把SQL结构和用户输入分开处理，彻底避免语法错误和SQL注入风险。下面是修改后的完整代码：

1. 查询数据部分的修改

<?php 
if (isset($_GET['id'])) { 
    $edit_id = $_GET['id']; 
    include 'connect.php'; 
    // 使用预处理语句查询
    $sql = "SELECT * FROM quiz WHERE id = ?";
    $stmt = $conn->prepare($sql);
    $stmt->bind_param("i", $edit_id); // id是整数类型，用"i"表示
    $stmt->execute();
    $results = $stmt->get_result();
    
    if ($results->num_rows > 0) { 
        while ($row = $results->fetch_assoc()) { 
            $db_id = $row['id']; 
            $db_phn = $row['phn']; 
            $db_top = $row['top']; 
            $db_inf = $row['inf']; 
            $db_rep = $row['rep']; 
        } 
    } 
} 
?>

2. 更新数据部分的修改

<?php 
if (isset($_POST['update'])) { 
    $id = $_POST['id']; 
    $phn = $_POST['phn']; 
    $top = $_POST['top']; 
    $inf = $_POST['inf']; 
    $rep = $_POST['rep']; 
    
    require_once 'connect.php'; 
    // 使用预处理语句更新
    $sql = "UPDATE quiz SET phn = ?, top = ?, inf = ?, rep = ? WHERE id = ?";
    $stmt = $conn->prepare($sql);
    // 绑定参数：ssssi 表示前四个是字符串（s），最后一个id是整数（i）
    $stmt->bind_param("ssssi", $phn, $top, $inf, $rep, $id);
    
    if ($stmt->execute()) { 
        header('Location: ViewI.php');
        exit; // 跳转后必须exit，防止后续代码继续执行
    } else { 
        echo "Failed to update: " . $stmt->error; 
    } 
} 
?>

额外注意事项 #

• 跳转页面后一定要加上exit;，避免后续代码继续执行导致意外输出
• 可以额外验证用户输入的合法性，比如检查$id是否为整数，过滤无效输入
• 永远不要直接将用户输入的内容拼接到SQL语句中，预处理是必须的安全规范

内容的提问来源于stack exchange，提问作者Winners