MySQL存入含特殊字符的SQL查询失败，求临时可行方案

嘿，这个问题我太懂了！你遇到的核心问题是那些特殊字符（%、_、'、"之类的）会直接打乱你拼接SQL语句的语法——比如单引号会提前闭合字符串，让数据库解析SQL时直接报错，根本没法正常入库。虽然你说暂时不考虑安全性，只要求实现功能，但**用预处理语句（Prepared Statements）**是最稳妥的解决办法，它能自动帮你转义所有特殊字符，完美避免语法错误。

下面给你两种常用PHP扩展的实现示例，你可以根据自己的代码环境选：

方式一：使用mysqli扩展的预处理语句 #

假设你已经有了mysqli的数据库连接（$conn），直接替换成你的表名就能用：

// 从表单/会话获取值
$username = $_SESSION['user'];
$appname = $_POST['appname'];
$sql2 = $_POST['sql'];

// 准备预处理SQL，用?作为参数占位符
$stmt = $conn->prepare("INSERT INTO your_table_name (username, appname, sql_content) VALUES (?, ?, ?)");
// 绑定参数："sss"表示三个参数都是字符串类型，对应后面的三个变量
$stmt->bind_param("sss", $username, $appname, $sql2);

// 执行插入操作
if ($stmt->execute()) {
    echo "SQL语句成功存入数据库！";
} else {
    echo "存入失败：" . $stmt->error;
}

// 清理资源
$stmt->close();
$conn->close();

方式二：使用PDO扩展的预处理语句 #

PDO的写法更简洁，同样假设你已经创建了PDO连接（$pdo）：

// 从表单/会话获取值
$username = $_SESSION['user'];
$appname = $_POST['appname'];
$sql2 = $_POST['sql'];

// 准备预处理SQL，用命名占位符（也可以用?）
$stmt = $pdo->prepare("INSERT INTO your_table_name (username, appname, sql_content) VALUES (:username, :appname, :sql)");

// 直接传入参数数组并执行
$stmt->execute([
    ':username' => $username,
    ':appname' => $appname,
    ':sql' => $sql2
]);

echo "SQL语句成功存入数据库！";

为什么这个方法有效？ #

预处理语句会把SQL结构和实际数据分开传给数据库：数据库先解析SQL的结构，再接收被自动转义后的参数值，这样不管参数里有什么特殊字符，都不会破坏SQL的语法结构，自然就能顺利入库了。

内容的提问来源于stack exchange，提问作者kikee1222