开发者社区> 问答> 正文

关于MySQL的查询问题

这段代码在某些服务器上可以正常运 我已经修复 但是不清楚什么原因导致BUG产生。
$edit=$_POST['edit'];
$time=date("Y-m-d",time()-2473600);
$result =$db->fetch_all("select * from table where workid= $edit and scantime >\"". $time.""");
修复后
$edit=$_POST['edit'];
$time=date("Y-m-d",time()-2473600);
$result =$db->fetch_all("select * from table where workid= $edit and scantime > $time ");
主要是把]
scantime >"". $time.""" 这个条件替换为 scantime > $time 就能正常获取数据,
区别是执行mysql语句的判定条件由 scantime >"2016-01-28" 修改为scantime > 2016-01-28 在$time前后是否拼接双引号scantime 这个字段的类型是datetime
事实上我之前的工作人员是用后一种写法查询不出数据知道改成前一种 ,今天我又改回来 ,不知道这个BUG原因究竟在哪 所以求助

展开
收起
蛮大人123 2016-02-08 23:34:02 2435 0
1 条回答
写回答
取消 提交回答
  • 我说我不帅他们就打我,还说我虚伪

    修改后 scantime > 2016-01-28 这个条件,由于 2016-01-28 不是合法的 DATETIME Literal,因此被转为 '0000-00-00 00:00' 处理了。请检查你查询的结果,只要 scantime 这个字段不为 NULL 都符合这个条件。
    修改前不能正常获取数据,请在 MySQL 客户端手工执行相应查询调试错误,确认数据是否存在。
    根据 MySQL 文档中,通常我们用单引号来包裹一个日期时间。
    最后但很重要,这段代码是非常危险的,从 $_POST 得到一个来自用户(可能是黑客哦)的变量,不做任何 escape 处理就放到查询里,这存在 SQL 注入攻击的风险,是非常严重的安全隐患。

    2019-07-17 18:39:59
    赞同 展开评论 打赏
问答排行榜
最热
最新

相关电子书

更多
搭建电商项目架构连接MySQL 立即下载
搭建4层电商项目架构,实战连接MySQL 立即下载
PolarDB MySQL引擎重磅功能及产品能力盛大发布 立即下载

相关镜像