PHP生成的SQL在MySQL控制台正常却报语法错误的解决方法

我一眼就抓住了两个核心问题，这正是你遇到“控制台能跑、PHP里报错”的关键原因：

1. mysqli_query 默认不支持执行多条SQL语句 #

你把多个INSERT语句拼接成了一个长字符串，然后用mysqli_query执行——但**mysqli_query一次只能处理单条SQL语句**，而MySQL控制台默认允许分号分隔的多语句执行，这就是两种环境表现不一致的根本原因。

2. 原始代码中 295684 的错误用法（已修正但仍受多语句限制） #

你最初把295684用单引号括起来，这会让MySQL把它当成字符串'295684'而非函数调用，后来去掉单引号的修正没问题，但因为多语句执行的限制，依旧报错。

解决方案一：改用 mysqli_multi_query 执行多语句 #

如果你坚持用SQL拼接的方式，需要替换执行函数，并正确处理多语句的结果集：

// 替换原来的 mysqli_query 调用逻辑
if (mysqli_multi_query($db, $sql)) {
    // 必须循环处理所有结果集，避免后续数据库操作出错
    do {
        if ($result = mysqli_store_result($db)) {
            mysqli_free_result($result);
        }
    } while (mysqli_next_result($db));

    // 检查整个批处理是否有错误
    if (mysqli_errno($db)) {
        echo mysqli_error($db);
        db_disconnect($db);
        exit;
    }
    return true;
} else {
    echo mysqli_error($db);
    db_disconnect($db);
    exit;
}

不过这种方式有隐患：只要拼接的SQL中有一处语法错误，整个批处理都会失败，而且仍存在SQL注入风险（即便你用了db_escape，预处理语句的安全性还是更高）。

解决方案二：使用预处理语句（推荐，安全又可靠） #

预处理语句能彻底避免SQL拼接的语法问题，还能杜绝SQL注入，执行效率也更高。这里给出mysqli预处理的实现：

function insert_narrative($narrative, $files) {
    global $db;
    
    // 第一步：插入 narratives 并获取自增ID
    $sql = "INSERT INTO narratives (date, positive_thing, what_you_did, goals, plan, entered_by, library_id) 
            VALUES (?, ?, ?, ?, ?, ?, ?)";
    
    $stmt = mysqli_prepare($db, $sql);
    mysqli_stmt_bind_param($stmt, 'ssssssi', 
        $narrative['sqldate'],
        $narrative['positive_thing'],
        $narrative['what_you_did'],
        $narrative['goals'],
        $narrative['plan'],
        $narrative['entered_by'],
        $_SESSION['library_id']
    );
    
    mysqli_stmt_execute($stmt);
    $narrative_id = mysqli_insert_id($db); // 直接获取插入后的自增ID
    mysqli_stmt_close($stmt);
    
    // 第二步：批量插入 narrative_photos
    if (!empty($files['pictures']['final_name'])) {
        $sql_photo = "INSERT INTO narrative_photos (`filename`, `narrative_id`) VALUES (?, ?)";
        $stmt_photo = mysqli_prepare($db, $sql_photo);
        
        // 绑定参数，narrative_id 固定，循环绑定filename即可
        mysqli_stmt_bind_param($stmt_photo, 'si', $final_name, $narrative_id);
        
        foreach ($files['pictures']['final_name'] as $final_name) {
            mysqli_stmt_execute($stmt_photo);
        }
        mysqli_stmt_close($stmt_photo);
    }
    
    // 全局错误检查
    if (mysqli_errno($db)) {
        echo mysqli_error($db);
        db_disconnect($db);
        exit;
    }
    
    return true;
}

这种方式的优势：

• 完全规避SQL拼接的语法错误
• 彻底杜绝SQL注入风险
• 预处理语句只需编译一次，多次执行更高效
• 不需要考虑多语句执行的限制

为什么修改后的 SET @narrative_id 仍报错？ #

因为你还是把这条语句和后续的INSERT拼接成了多语句，然后用mysqli_query执行，同样触发了“单语句执行”的限制。换成mysqli_multi_query可以解决，但预处理语句显然是更优的选择。

内容的提问来源于stack exchange，提问作者rancidamoeba