PHP初学者求教：MySQL查询中变量传值为何需要加引号

嘿，作为PHP和MySQL的初学者，能注意到这个细节真的很棒！咱们一步步来拆解这个问题：

核心原因：MySQL对数据类型的语法要求 #

MySQL在执行SQL语句时，需要明确区分不同类型的数据：

• 对于字符串类型的字段（比如你代码里的username和password，通常数据库里会定义为VARCHAR或TEXT类型），必须用单引号（'）或者双引号（"）把值包裹起来。这样MySQL才会把引号里的内容识别成字符串值，而不是SQL的关键字、列名或者其他数据库对象。

举个反例，如果你的代码去掉引号写成这样：

$query = "INSERT INTO users(username,password) VALUES ($username,$password)";

假设用户输入的username是admin，那么最终生成的SQL会是：

INSERT INTO users(username,password) VALUES (admin,123456);

MySQL看到admin没有引号，会误以为它是一个列名，而不是字符串值，直接就会抛出“Unknown column 'admin' in 'field list'”的错误，导致插入失败。

避免语法错误的关键 #

如果用户输入的内容里包含特殊字符（比如单引号'、空格、中文），不加引号会直接破坏SQL的语法结构。比如用户输入的username是O'Neil，不加引号的话生成的SQL会是：

INSERT INTO users(username,password) VALUES (O'Neil,123456);

这时候SQL语句里的单引号会提前闭合，后面的Neil就变成了无效的SQL语法，直接报错。

补充：数值类型字段不需要引号 #

如果你的字段是数值类型（比如INT、FLOAT），传递变量时就不需要加引号。比如你有一个age字段是INT类型，代码可以写成：

$query = "INSERT INTO users(age) VALUES ($age)";

MySQL会自动识别$age里的内容为数值。

重要提醒：你的代码存在SQL注入风险 #

最后多说一句，你现在直接把用户输入的变量拼接到SQL里的写法很危险，容易被SQL注入攻击。建议改用预处理语句（mysqli的prepare方法），既安全又能避免手动加引号的麻烦，示例代码大概是这样：

$connection = mysqli_connect('localhost','root','','loginapp');
$username = $_POST['username'];
$password = $_POST['password'];

// 预处理语句
$stmt = mysqli_prepare($connection, "INSERT INTO users(username,password) VALUES (?, ?)");
mysqli_stmt_bind_param($stmt, "ss", $username, $password);
$result = mysqli_stmt_execute($stmt);

echo $result ? 1 : 0;

内容的提问来源于stack exchange，提问作者Jp Arcilla