PHP连接MySQL数据库失效，表单提交时SQL语法错误求助

嘿，我一眼就揪出你遇到的问题啦！

看你提供的报错SQL语句：

insert into user (user_name,tel,password,isAdmin) VALUES ('dfd','555,' 443434','0')

这里的语法错误非常明显：

• tel字段的值'555,少了一个闭合的单引号，直接导致引号配对完全混乱
• 后面的443434前面还多了一个单引号和多余空格，进一步破坏了SQL的结构

根本原因与解决方案 #

这个错误是因为你直接把用户输入拼接进SQL语句时，引号处理失误导致的。更关键的是，这种直接拼接的方式还存在SQL注入漏洞，风险极高！正确的做法是使用预处理语句来绑定参数，既避免语法错误，又保障安全。

给你举个mysqli预处理的示例代码：

// 假设已建立mysqli连接$conn
$user_name = $_POST['user_name'];
$tel = $_POST['tel'];
// 密码必须加密存储，绝对不能明文！
$password = password_hash($_POST['password'], PASSWORD_DEFAULT);
$isAdmin = 0;

// 预处理SQL语句，用?作为占位符
$stmt = $conn->prepare("INSERT INTO user (user_name, tel, password, isAdmin) VALUES (?, ?, ?, ?)");
// 绑定参数：s代表字符串，i代表整数，对应四个占位符的类型
$stmt->bind_param("sssi", $user_name, $tel, $password, $isAdmin);

// 执行语句并处理结果
if ($stmt->execute()) {
    echo "新用户添加成功！";
} else {
    echo "错误信息: " . $stmt->error;
}

// 关闭语句与连接
$stmt->close();
$conn->close();

额外注意事项 #

• 密码一定要用password_hash加密存储，验证时使用password_verify，这是用户数据安全的基本要求
• 永远不要直接将用户输入（比如表单提交的内容）拼接到SQL语句中，预处理语句是防范SQL注入的标准方案
• 如果暂时要用拼接方式（非常不推荐），必须用mysqli_real_escape_string对所有字符串类型的输入进行转义，确保引号正确闭合

内容的提问来源于stack exchange，提问作者mohammad