PHP调用MySQL存储过程insertRestaurant失败排查求助

首先，你的问题根源在于单引号包裹的SQL语句里，PHP变量不会被解析。你写的'CALL insertRestaurant($restaurant_name, $pnumber, $email, $address, $city, $province);'中，数据库接收到的参数是$restaurant_name这类字符串，而不是这些变量实际存储的值，这就导致存储过程无法正确获取参数，执行失败。

另外，直接把变量拼进SQL语句还存在SQL注入的风险，更推荐使用预处理语句来调用存储过程，既安全又能确保参数正确传递。

修复方案一：正确拼接变量（不推荐，有注入风险） #

如果一定要直接拼接，需要把单引号改成双引号，或者在单引号外拼接变量：

// 方式1：双引号包裹SQL，变量会被解析
$sql = "CALL insertRestaurant('$restaurant_name', '$pnumber', '$email', '$address', '$city', '$province');";

// 方式2：单引号拼接变量（注意转义单引号）
$sql = 'CALL insertRestaurant(\'' . $restaurant_name . '\', \'' . $pnumber . '\', \'' . $email . '\', \'' . $address . '\', \'' . $city . '\', \'' . $province . '\');';

但这种方法如果变量里包含单引号等特殊字符，会再次导致SQL语法错误，而且容易被SQL注入攻击，所以不建议使用。

修复方案二：使用预处理语句（推荐） #

使用mysqli的预处理功能，绑定参数后调用存储过程，这是更安全可靠的方式：

$conn = OpenCon();

// 准备调用存储过程的语句，用?作为参数占位符
$sql = 'CALL insertRestaurant(?, ?, ?, ?, ?, ?);';
$stmt = $conn->prepare($sql);

// 绑定参数，第一个参数是参数类型字符串：s代表字符串，i代表整数，根据你的实际参数类型调整
// 假设所有参数都是字符串类型，就用六个s
$stmt->bind_param('ssssss', $restaurant_name, $pnumber, $email, $address, $city, $province);

// 执行语句
if ($stmt->execute()) {
    echo "Successful Entry!";
} else {
    // 输出具体错误信息，方便排查
    echo "Couldn't input into database. Error: " . $stmt->error;
}

// 关闭语句和连接
$stmt->close();
$conn->close();

额外排查建议： #

• 先在MySQL客户端（比如phpMyAdmin、Navicat）手动执行CALL insertRestaurant('测试名称', '123456', 'test@example.com', '测试地址', '测试城市', '测试省份');，确认存储过程本身可以正常执行，排除存储过程自身的问题。
• bind_param的第一个参数要和你的存储过程参数类型严格对应，比如如果$pnumber是整数类型，就把对应位置的s改成i。

内容的提问来源于stack exchange，提问作者Siam Shafiq