本文详解一个常见但致命的 sql 插入语句语法错误（缺失引号导致解析失败），并系统性指出原始代码中潜藏的 sql 注入风险、连接变量误用、字符集配置不当等关键问题，提供安全、健壮、符合现代实践的修复方案。
本文详解一个常见但致命的 sql 插入语句语法错误（缺失引号导致解析失败），并系统性指出原始代码中潜藏的 sql 注入风险、连接变量误用、字符集配置不当等关键问题，提供安全、健壮、符合现代实践的修复方案。
在您提供的 PHP 代码中，INSERT 语句抛出如下错误：
You have an error in your SQL syntax; check the manual [...] near '', '1', '1')' at line 1
该错误直接原因是字符串拼接时漏写了单引号 —— 在 $radical_reading 前缺少起始 '，导致 SQL 语句结构被破坏。原始错误行如下：
$sql = "INSERT INTO bffc_radicals (radical_name, radical_reading, radical_stroke_count, radical_mnemonic) VALUES ('$radical_name', $radical_reading', '$radical_stroke_count', '$radical_mnemonic')";
// ↑ 这里缺了开头的 '修正后应为：
$sql = "INSERT INTO bffc_radicals (radical_name, radical_reading, radical_stroke_count, radical_mnemonic) VALUES ('$radical_name', '$radical_reading', '$radical_stroke_count', '$radical_mnemonic')";
// ↑ 补齐引号但这仅是“表面修复”。若仅修正引号，代码仍存在严重安全隐患与设计缺陷，必须同步解决：
立即学习“PHP免费学习笔记（深入）”；
? 关键问题清单与修复说明
| 问题类型 | 具体表现 | 风险等级 | 修复方式 |
|---|---|---|---|
| SQL 注入漏洞 | 直接将 $_POST 变量拼入 SQL 字符串 | ⚠️⚠️⚠️ 极高（可执行任意数据库操作） | ✅ 改用预处理语句（mysqli_prepare + bind_param） |
| 连接变量名不一致 | mysqli_connect() 返回 $db，但 mysqli_set_charset() 却写成 $con | ⚠️ 中（导致字符集未生效，中文乱码或插入失败） | ✅ 统一使用 $db |
| 字符集配置错误 | utf32 不是 MySQL 推荐的连接字符集；应设为 utf8mb4 | ⚠️ 中（无法正确存储 emoji 或部分生僻汉字） | ✅ 改为 utf8mb4 并确保表/列也使用该字符集 |
| 未校验表结构变更结果 | CREATE TABLE 执行无错误检查 | ⚠️ 低（建表失败时静默忽略） | ✅ 添加 if (!$result) die("Create failed: " . mysqli_error($db)); |
| 未过滤/转义整型字段 | radical_stroke_count 是 int 类型，但未做 (int) 强制转换 | ⚠️ 中（可能被注入恶意字符串） | ✅ 使用 (int) 转换或预处理参数绑定 |
✅ 推荐修复后的完整 PHP 数据插入段（含安全防护）
<?php
// 1. 建立连接并统一变量名
$db = mysqli_connect("localhost", "shizza_bffc", "5&avXr7Z", "shizza_bffc");
if (!$db) {
die("Connection failed: " . mysqli_connect_error());
}
// 2. 正确设置连接字符集（utf8mb4 支持完整 Unicode）
if (!mysqli_set_charset($db, "utf8mb4")) {
die("Setting charset failed: " . mysqli_error($db));
}
// 3. 创建表（带错误检查）
$sql_create = "CREATE TABLE IF NOT EXISTS bffc_radicals (
radical_id INT NOT NULL AUTO_INCREMENT,
radical_name TINYTEXT,
radical_reading TINYTEXT,
radical_stroke_count INT,
radical_mnemonic TINYTEXT,
PRIMARY KEY (radical_id)
) CHARACTER SET utf8mb4 COLLATE utf8mb4_unicode_ci";
if (!mysqli_query($db, $sql_create)) {
die("Create table failed: " . mysqli_error($db));
}
// 4. 处理表单提交（仅当 POST 提交且按钮被点击）
if ($_SERVER['REQUEST_METHOD'] === 'POST' && ($_POST['submit'] ?? '') === 'Add radical') {
// 5. 获取并基础过滤输入（注意：预处理已足够，此处仅为清晰示意）
$radical_name = trim($_POST['radical_name'] ?? '');
$radical_reading = trim($_POST['radical_reading'] ?? '');
$radical_stroke_count = (int)($_POST['radical_stroke_count'] ?? 0);
$radical_mnemonic = trim($_POST['radical_mnemonic'] ?? '');
// 6. ✅ 使用预处理语句防止 SQL 注入（核心安全措施）
$stmt = mysqli_prepare($db,
"INSERT INTO bffc_radicals (radical_name, radical_reading, radical_stroke_count, radical_mnemonic)
VALUES (?, ?, ?, ?)"
);
if ($stmt) {
// 绑定参数：s=string, i=integer；顺序严格对应 ? 占位符
mysqli_stmt_bind_param($stmt, "sisi", $radical_name, $radical_reading, $radical_stroke_count, $radical_mnemonic);
if (mysqli_stmt_execute($stmt)) {
echo "<br><strong>Nicely added!</strong><br>";
} else {
echo "<br><strong>Insert failed:</strong> " . mysqli_error($db) . "<br>";
}
mysqli_stmt_close($stmt);
} else {
echo "<br><strong>Prepare failed:</strong> " . mysqli_error($db) . "<br>";
}
}
?>? 重要注意事项
- 永远不要拼接用户输入到 SQL 字符串中：即使加了引号，也无法防御 ' OR '1'='1 这类经典注入。
- utf8mb4 是 MySQL 的真实 UTF-8 实现：utf8 在 MySQL 中仅支持最多 3 字节字符（不兼容 emoji 和部分汉字），务必全局统一。
- 表单验证应在前后端同时进行：PHP 层的 trim() 和 (int) 是基础防护，但前端 HTML5 的 required、type="number" 等仅作体验优化，不可替代服务端校验。
- 生产环境需关闭错误显示：使用 mysqli_report(MYSQLI_REPORT_ERROR | MYSQLI_REPORT_STRICT) 结合异常处理，避免向用户暴露敏感数据库信息。
通过以上重构，您的代码不仅修复了语法错误，更从根源上消除了 SQL 注入风险，提升了字符兼容性与运行健壮性——这才是 Web 开发中「正确写法」的标准起点。
