PHP动态更新MySQL表失败：使用变量执行UPDATE语句遇问题

首先，你的UPDATE语句执行失败最直接的原因是字符串类型的字段值没有用单引号包裹，SQL解析时会把这些变量值当成语法错误的标识符。除此之外，你的代码还存在输入处理不当和缺乏错误调试信息的问题，下面一步步来解决：

1. 核心语法错误：字符串值未加引号 #

你的TITLE字段是字符串类型，所以在SQL语句中，$newtitle和$currenttitle这些字符串变量必须用单引号包裹，否则数据库会把它们当成列名或者无效的语法。比如如果$currenttitle是"Hello World"，你的原始SQL会变成：

UPDATE testing1 SET TITLE= Hello World WHERE TITLE = Hello World

这显然会触发SQL语法错误，因为Hello和World会被当成两个独立的标识符，而不是一个完整的字符串值。

2. 错误的输入处理方式 #

你用了htmlentities()来处理用户输入，这个函数是用来将特殊字符转换为HTML实体，防止XSS攻击的，不适合用于数据库输入处理。处理数据库输入应该使用与数据库匹配的转义函数，或者更安全的预处理语句（推荐）。

3. 缺少错误调试信息 #

你只知道查询失败，但没有输出具体的数据库错误信息，这会让排查变得困难。可以用mysqli_error($db)来获取详细的错误提示。

修复后的代码（基础版，转义方式） #

$thetable = "testing1";
$db = mysqli_connect($servername, $user, $password);
if (!$db) {
    echo "NO CONNECTION AVAILABLE";
    exit();
}
mysqli_select_db($db, "testing");

// 用mysqli_real_escape_string转义数据库输入，而不是htmlentities
$currenttitle = mysqli_real_escape_string($db, $_GET['currenttitle']);
$newtitle = mysqli_real_escape_string($db, $_GET['newtitle']);
$newdesc = mysqli_real_escape_string($db, $_GET['newdesc']);

echo $currenttitle;
echo $newtitle;

// 给字符串变量加上单引号
$query = "UPDATE $thetable SET TITLE = '$newtitle' WHERE TITLE = '$currenttitle'";
echo $query;

$results = mysqli_query($db, $query);
if (!$results) {
    // 输出具体错误信息，方便调试
    echo "Query failed: " . mysqli_error($db);
    exit();
}
echo "updated";

更安全的方案：使用预处理语句（推荐） #

预处理语句可以彻底避免SQL注入问题，同时不需要手动处理引号和转义，是处理数据库交互的最佳实践：

$thetable = "testing1";
$currenttitle = $_GET['currenttitle'];
$newtitle = $_GET['newtitle'];
$newdesc = $_GET['newdesc'];

echo $currenttitle;
echo $newtitle;

$db = mysqli_connect($servername, $user, $password);
if (!$db) {
    echo "NO CONNECTION AVAILABLE";
    exit();
}
mysqli_select_db($db, "testing");

// 准备预处理语句（注意表名不能用参数绑定，所以要确保$thetable是安全的）
$query = "UPDATE $thetable SET TITLE = ? WHERE TITLE = ?";
$stmt = mysqli_prepare($db, $query);
// 绑定参数，s表示字符串类型
mysqli_stmt_bind_param($stmt, "ss", $newtitle, $currenttitle);
// 执行语句
mysqli_stmt_execute($stmt);

if (mysqli_stmt_affected_rows($stmt) === 0) {
    echo "No rows updated (maybe the current title doesn't exist)";
} else {
    echo "updated successfully";
}

// 关闭语句和连接
mysqli_stmt_close($stmt);
mysqli_close($db);

注意：表名无法通过预处理语句的参数绑定，所以你要确保$thetable的来源是安全的（比如只能是你预设的testing1/testing2/testing3，不能直接接收用户输入的表名）。

内容的提问来源于stack exchange，提问作者Phil Duggan