上传图片无法插入profileimg表，求问题排查及可行方案

首先，你的$sqlImg语句失效的核心原因有两个：SQL语法错误和逻辑误用，咱们一步步拆解：

1. INSERT语句的语法完全错误 #

标准的INSERT INTO语法是：

INSERT INTO 表名(列1, 列2) VALUES(值1, 值2);

而你写的：

$sqlImg = "INSERT INTO profileimg (image) WHERE userid='$id' VALUES ($fileNameNew);";

犯了两个致命错误：

• INSERT语句不能搭配WHERE子句，WHERE是用于SELECT/UPDATE/DELETE这类操作筛选已有行的，INSERT是新增行，不需要筛选
• VALUES子句的位置完全错了，应该紧跟在列定义后面，不是WHERE之后

2. 逻辑错误：你应该用UPDATE而非INSERT #

从前面的代码$sql = "UPDATE profileimg SET status=0 WHERE userid='$id';";能看出来，你已经针对userid='$id'的记录更新了status，说明这条用户的记录已经存在于profileimg表中了。这时候你不需要插入新行，而是要更新已有行的image字段。

修正后的代码 #

把错误的$sqlImg替换成下面的UPDATE语句：

// 注意给字符串类型的字段值加单引号
$sqlImg = "UPDATE profileimg SET image='$fileNameNew' WHERE userid='$id';";
mysqli_query($conn, $sqlImg);

额外重要提醒：防范SQL注入 #

你的代码目前直接把$id和$fileNameNew拼进SQL语句里，存在严重的SQL注入风险。建议改用mysqli的预编译语句（prepared statements），示例如下：

// 替换原来的$sql和$sqlImg部分
$sql = "UPDATE profileimg SET status=0 WHERE userid=?;";
$stmt = mysqli_prepare($conn, $sql);
mysqli_stmt_bind_param($stmt, "i", $id);
mysqli_stmt_execute($stmt);

$sqlImg = "UPDATE profileimg SET image=? WHERE userid=?;";
$stmtImg = mysqli_prepare($conn, $sqlImg);
mysqli_stmt_bind_param($stmtImg, "si", $fileNameNew, $id);
mysqli_stmt_execute($stmtImg);

这样能有效避免恶意代码注入，提升代码安全性。

内容的提问来源于stack exchange，提问作者Satellite Sage