C语言中如何将终端输入的字符串变量作为MySQL查询参数

看起来你在尝试用MySQL C API把命令行输入的变量插入数据库时遇到了语法错误问题，我来帮你梳理下问题所在并给出正确的解决方案。

首先，你之前尝试的'"+Name+"'、:Name这些写法要么不符合C语言的字符串拼接规则，要么不是MySQL C API支持的参数传递方式——直接用mysql_query执行带占位符的字符串是无效的，因为MySQL服务器不会解析这些自定义占位符；而直接拼接字符串如果处理不当（比如输入包含单引号）就会触发语法错误，还会带来SQL注入风险。

下面是两种解决方案，强烈推荐第一种预处理语句的方式，因为它既安全又能避免语法错误：

方法一：使用MySQL预处理语句（Prepared Statements，推荐） #

MySQL C API提供了预处理语句接口，通过?作为占位符来绑定参数，这是处理动态输入最安全的方式，能自动处理特殊字符，避免SQL注入和语法错误。

修改你代码中查询执行的部分如下：

// 初始化预处理语句
MYSQL_STMT *stmt = mysql_stmt_init(con);
if (stmt == NULL) {
    finish_with_error(con);
}

// 定义带占位符的INSERT语句
const char *insert_query = "INSERT INTO Personal_info (First_name) VALUES (?)";
if (mysql_stmt_prepare(stmt, insert_query, strlen(insert_query)) != 0) {
    finish_with_error(con);
}

// 绑定参数：这里我们要传递一个字符串类型的参数
MYSQL_BIND param;
memset(&param, 0, sizeof(param));
param.buffer_type = MYSQL_TYPE_STRING;
param.buffer = Name;
param.buffer_length = strlen(Name);
param.is_null = 0;

if (mysql_stmt_bind_param(stmt, &param) != 0) {
    finish_with_error(con);
}

// 执行预处理语句
if (mysql_stmt_execute(stmt) != 0) {
    finish_with_error(con);
}

// 释放预处理语句资源
mysql_stmt_close(stmt);

同时，记得在程序结束时释放Name的内存：

free(Name);

为什么这个方法有效？ #

• 预处理语句会先把SQL结构发送给MySQL服务器编译，然后再传递参数值，服务器会正确解析参数，自动处理字符串中的特殊字符（比如单引号、换行符），不会触发语法错误。
• 彻底避免了SQL注入攻击，因为参数和SQL结构是分开传递的。

方法二：字符串拼接（不推荐，仅作参考） #

如果你一定要用字符串拼接的方式构造SQL语句，必须手动转义字符串中的特殊字符（比如单引号），否则会出现语法错误。可以用mysql_real_escape_string函数来处理：

// 计算转义后字符串所需的空间：原长度*2 + 1（最坏情况每个字符都需要转义）
size_t escaped_len = strlen(Name)*2 + 1;
char *escaped_name = malloc(escaped_len);
if (escaped_name == NULL) {
    fprintf(stderr, "Memory allocation failed\n");
    free(Name);
    mysql_close(con);
    exit(1);
}

// 转义特殊字符
mysql_real_escape_string(con, escaped_name, Name, strlen(Name));

// 构造查询字符串
char query[1024];
snprintf(query, sizeof(query), "INSERT INTO Personal_info (First_name) VALUES ('%s')", escaped_name);

// 执行查询
if (mysql_query(con, query)) {
    finish_with_error(con);
}

// 释放转义后的字符串
free(escaped_name);

注意事项： #

• 这种方式容易因为缓冲区大小不足导致问题（如果输入太长，query数组会溢出），需要确保缓冲区足够大。
• 仍然存在SQL注入的风险（虽然转义了，但某些特殊场景下可能还是有漏洞），所以不推荐在生产环境使用。

你之前的错误点总结： #

1. 原代码中的VALUES()是空的，这本身就是语法错误，必须填入合法的值或占位符。
2. :Name、@Name这些是MySQL客户端工具（比如mysql命令行）或ORM框架的占位符，MySQL C API的mysql_query函数不支持这些写法，必须用预处理语句的?占位符。
3. 直接用C语言字符串拼接'"+Name+"'的写法是错误的，C语言中不能这样拼接字符串，必须用snprintf或类似函数来构造完整的SQL字符串。

最后，记得在程序结束时释放所有分配的内存（比如Name、escaped_name），避免内存泄漏。

内容的提问来源于stack exchange，提问作者EvG