如何解决PHP向MySQL提交含单引号字符串时的语法错误？

你遇到的问题根源在于直接把用户输入的未转义字符串拼接到SQL语句里——这不仅会让单引号破坏SQL的语法结构，还存在非常严重的SQL注入风险。下面具体说明原因和修复方案：

问题出在哪？ #

举个例子，如果用户在内容里输入I'm testing this post，你的代码会把SQL拼接成这样：

INSERT INTO `tbl_posts`(`date`, `content`, `title`, `author`) VALUES ('2024/05/20','I'm testing this post','...','...')

这里第二个单引号会提前闭合content字段的字符串值，后面的m testing this post就变成了无效的SQL语法，自然会抛出错误。

正确解决方案：使用预处理语句（Prepared Statements） #

预处理语句是PHP和数据库交互的标准安全做法，它会把SQL结构和用户输入彻底分离，既解决单引号的语法问题，又能从根源上杜绝SQL注入。针对你用的mysqli扩展，修改后的代码如下：

<?php
require "connection.php";

// 先检查POST参数是否存在，避免未定义索引警告
$author = isset($_POST['author']) ? $_POST['author'] : '';
$title = isset($_POST["title"]) ? $_POST["title"] : '';
$content = isset($_POST["content"]) ? $_POST["content"] : '';
$date = date("Y/m/d");

// 用占位符?代替直接写入SQL的变量
$sql = "INSERT INTO `tbl_posts`(`date`, `content`, `title`, `author`) VALUES (?, ?, ?, ?)";

// 初始化预处理对象
$stmt = $conn->prepare($sql);
if (!$stmt) {
    die("预处理失败: " . $conn->error);
}

// 绑定参数：s代表字符串类型，四个参数对应四个占位符的顺序
$stmt->bind_param("ssss", $date, $content, $title, $author);

// 执行插入操作
if ($stmt->execute()) {
    echo "<br> Posted!";
} else {
    echo "Error: " . $stmt->error;
}

// 关闭语句和数据库连接
$stmt->close();
$conn->close();
?>

几个关键要点 #

• 占位符替代变量：用?占位符代替直接写进SQL的变量，数据库会先解析完整的SQL结构，再单独处理用户输入。
• 参数绑定：bind_param方法指定每个参数的类型（s代表字符串，i代表整数，d代表浮点数等），确保输入被正确解析，自动处理单引号这类特殊字符。
• 安全性提升：预处理语句完全避免了SQL注入的风险，这是直接拼接SQL永远无法做到的。

另外，建议你始终对用户的输入参数做存在性检查（比如代码里的isset判断），避免出现未定义索引的警告。

内容的提问来源于stack exchange，提问作者tisa