MySQL数据更新报错求助：mysqli_query触发SQL语法错误

安全阿岳

2026-7-31

问题排查与修复

核心错误：SQL语法缺失逗号

你的UPDATE语句中，多个字段更新时字段之间必须用逗号分隔，原代码里username和password之间没有逗号，导致数据库无法解析SQL语句，这就是报错的直接原因。

原代码拼接后的SQL示例：

UPDATE users SET username = 'xxx' password = 'yyy' WHERE id = zzz

正确的格式应该是：

UPDATE users SET username = 'xxx', password = 'yyy' WHERE id = zzz

修复后的基础代码

先修正语法错误，调整字符串拼接部分：

<?php 
if(isset($_POST['submit'])) { 
    $username = $_POST['username']; 
    $password = $_POST['password']; 
    $id = $_POST['id']; 

    // 注意在username行末尾添加逗号
    $query = "UPDATE users SET "; 
    $query .= "username = '$username', "; 
    $query .= "password = '$password' "; 
    $query .= "WHERE id = $id"; 

    $result = mysqli_query($connection, $query); 
    if(!$result) { 
        die ('QUERY FAILED' . mysqli_error($connection)); 
    } 
} 
?>

重要提醒：避免SQL注入风险

直接将用户输入的POST参数拼接到SQL语句中存在严重的SQL注入漏洞，强烈建议使用预处理语句来执行数据库操作，示例代码如下：

<?php 
if(isset($_POST['submit'])) { 
    $username = $_POST['username']; 
    $password = $_POST['password']; 
    $id = $_POST['id']; 

    // 预处理语句模板
    $query = "UPDATE users SET username = ?, password = ? WHERE id = ?";
    $stmt = mysqli_prepare($connection, $query);
    // 绑定参数（s代表字符串，i代表整数，根据id实际类型调整）
    mysqli_stmt_bind_param($stmt, "ssi", $username, $password, $id);
    // 执行语句
    mysqli_stmt_execute($stmt);

    if(mysqli_stmt_affected_rows($stmt) === 0) {
        echo "未更新任何数据，请检查ID是否存在";
    } else {
        echo "数据更新成功";
    }

    mysqli_stmt_close($stmt);
} 
?>