使用单引号时数据无法存入数据库的问题求助

核心问题出在前端AJAX传参的字符串拼接破坏了数据结构，加上后端直接拼接SQL时未正确处理特殊字符。咱们一步步来修复：

1. 修复前端AJAX传参方式 #

你当前的saveToDatabase函数用字符串拼接data参数，当内容包含单引号（比如O'Neil）时，会导致URL参数解析错误，后端接收到的editval会被截断。改用jQuery的对象式传参，它会自动编码特殊字符：

修改saveToDatabase中的AJAX部分：

function saveToDatabase(editableObj,column,id) { 
    var cvalue;
    if(column=="image_ready" || column=="ready_to_print" || column=="ready_to_packaging" || column=="ready_to_dispatch"){
        cvalue=editableObj;
    }else{
        cvalue=$(editableObj).text();
    } 
    $.ajax({ 
        url: "editOrder.php", 
        type: "POST", 
        // 改用对象传参，自动处理特殊字符编码
        data: {
            column: column,
            editval: cvalue,
            id: id
        },
        success: function(data){ 
            $(editableObj).css("background","#dddddd"); 
            if(column=="image_ready" || column=="ready_to_print" || column=="ready_to_packaging" || column=="ready_to_dispatch"){
                location.reload();
            } 
        } 
    }); 
}

2. 后端严格处理SQL拼接（必须步骤） #

即使是内部用户，直接用$_POST拼接SQL也会有风险，之前的转义操作没用到关键环节。现在在editOrder.php里对参数做转义，同时验证允许修改的列：

// 定义允许修改的列，防止非法列名导致的SQL错误或注入
$allowedColumns = ['name', 'image_ready', 'ready_to_print', 'ready_to_packaging', 'ready_to_dispatch'];
$column = isset($_POST["column"]) && in_array($_POST["column"], $allowedColumns) ? $_POST["column"] : '';

if ($column && isset($_POST["editval"]) && isset($_POST["id"])) {
    // 对每个参数进行SQL转义
    $editval = mysqli_real_escape_string($mysqli, $_POST["editval"]);
    $id = mysqli_real_escape_string($mysqli, $_POST["id"]);
    
    // 给列名加反引号，避免和SQL关键字冲突
    $sql = "UPDATE do_order set `$column` = '$editval' WHERE id = '$id'";
    
    // 执行SQL并处理结果（示例）
    // if(mysqli_query($mysqli, $sql)) { ... }
}

为什么之前的方法无效？ #

你之前在HTML输出时用addslashes或mysqli_real_escape_string，是为了避免HTML中的引号冲突，但这和AJAX传递的原始数据无关——AJAX发送的是用户编辑后的文本，字符串拼接传参时单引号会破坏参数结构，导致后端无法接收完整值。

额外提示 #

虽然是内部系统，验证允许修改的列（$allowedColumns）能避免误操作或意外的SQL错误，建议保留这个步骤。

内容的提问来源于stack exchange，提问作者user8444404