使用mysqli_insert_id()拼接SQL时触发mysqli对象转字符串致命错误，求排查

咱们来一步步拆解你遇到的问题哈：

首先看错误提示 Recoverable fatal error: Object of class mysqli could not be converted to string，这个错误的核心原因是你那行SQL拼接的代码语法完全写错了，导致PHP无法正确解析你的函数调用，反而尝试把mysqli连接对象转换成字符串，最终触发了错误。

你的代码问题出在哪？ #

你写的这行代码：

$query1="UPDATE `users` SET password=''.md5(md5(mysqli_insert_id($link).$pass)).'' WHERE id=''.mysqli_insert_id($link).'' ";

这里犯了两个关键错误：

1. 字符串拼接语法混乱：你用双引号包裹了整个SQL语句，但在内部错误地混用了PHP的字符串拼接符.和空字符串''。这种写法会让PHP把mysqli_insert_id($link)这类函数调用当成普通字符串的一部分，而不是去执行它。更糟的是，错误的语法逻辑会让PHP尝试把$link这个mysqli连接对象强制转换成字符串，这就直接触发了你看到的错误。
2. 安全隐患拉满：直接把变量拼接到SQL语句里存在严重的SQL注入风险，攻击者可以通过构造恶意输入篡改你的SQL逻辑；另外用md5(md5(...))哈希密码已经完全过时，这种方式很容易被暴力破解，完全不符合现代密码安全标准。

修正后的正确写法 #

推荐方案：用预处理语句（安全且规范） #

预处理语句是防止SQL注入的最佳实践，同时也能避免字符串拼接的语法错误，另外改用PHP原生的password_hash()来处理密码：

// 先获取插入的ID，单独存为变量更清晰
$insertedId = mysqli_insert_id($link);
// 使用安全的密码哈希算法，盐值会自动生成
$hashedPassword = password_hash($insertedId . $pass, PASSWORD_DEFAULT);

// 准备预处理语句
$updateQuery = "UPDATE `users` SET password = ? WHERE id = ?";
$stmt = mysqli_prepare($link, $updateQuery);
// 绑定参数："si" 表示第一个参数是字符串（密码哈希），第二个是整数（用户ID）
mysqli_stmt_bind_param($stmt, "si", $hashedPassword, $insertedId);
// 执行语句
mysqli_stmt_execute($stmt);

如果你非要用字符串拼接（不推荐） #

如果只是想临时修正语法错误，正确的拼接方式应该把函数调用和变量放在双引号外面，用.连接：

$insertedId = mysqli_insert_id($link);
$hashedPassword = md5(md5($insertedId . $pass)); // 再次提醒：这种哈希方式不安全
$query1 = "UPDATE `users` SET password = '" . $hashedPassword . "' WHERE id = '" . $insertedId . "'";

但还是强烈建议用预处理语句，别拿数据库安全开玩笑~

内容的提问来源于stack exchange，提问作者Nagraj