PHP调用MySQL存储过程失败求助（无需预处理/绑定参数）

你遇到的问题核心在于PHP单引号字符串不会解析变量——你在exec()里用单引号包裹存储过程调用语句，导致数据库接收到的参数是字符串$first和$last，而不是从AJAX获取的实际值。这就是为什么在Workbench里能正常调用，但PHP里失败的原因。

另外先提个关键提醒：直接拼接用户输入到SQL语句里存在严重的SQL注入风险，哪怕你现在不想用预处理绑定，也得明确这个隐患。不过先解决你当前的调用问题：

修正后的PHP代码 #

<?php
// 打开数据库连接
$connection = "mysql:host=localhost;dbname=restaurant";
$user = "root";
$pwd = "Dumpweed37!";
$db = new PDO($connection, $user, $pwd);

// 从AJAX获取变量
$first = $_GET["first"];
$last = $_GET["last"];
$type = $_GET["type"];

// 添加新员工
if ($type === "server"){
    // 改用双引号让PHP解析变量，同时给字符串参数加单引号适配SQL语法
    $add = $db->exec("CALL AddServer('$first', '$last')");
} else if ($type === "bartender"){
    $add = $db->exec("CALL AddBartender('$first', '$last')");
} else if ($type === "host"){
    $add = $db->exec("CALL AddHost('$first', '$last')");
}

为什么原来的代码不行？ #

PHP中，单引号'包裹的字符串是字面量字符串，里面的$first会被当作普通文本直接传给数据库，而不是读取变量的实际值。改成双引号"包裹后，PHP会自动解析字符串里的变量，把$first替换成AJAX传来的真实输入。

更安全的替代方案（强烈建议） #

虽然你说不想预处理，但为了避免SQL注入，同时避免输入含特殊字符（比如单引号）导致的SQL语法错误，还是推荐用参数绑定的方式，代码其实也很简洁：

if ($type === "server"){
    $stmt = $db->prepare("CALL AddServer(:first, :last)");
    $stmt->bindParam(':first', $first);
    $stmt->bindParam(':last', $last);
    $stmt->execute();
}
// bartender和host分支同理修改即可

额外检查点 #

1. 可以先在PHP脚本开头加var_dump($_GET);，确认AJAX请求确实把first、last、type三个参数正确传递过来了。
2. 你的存储过程里给host表名加了反引号，这个操作很正确——因为host是MySQL关键字，加反引号能避免语法冲突。

内容的提问来源于stack exchange，提问作者Katrina Renwick