如何在MySQL语句中包含一个PHP变量

在任何MySQL语句中添加PHP变量的规则都是简单明了的。

因此，由于你的例子只涉及数据字面，那么所有的变量必须通过占位符（也称为参数）来添加。要做到这一点。

这里是如何使用所有流行的PHP数据库驱动程序的方法。

使用mysql ext添加数据字段

这样的司机 并不存在 。

使用 mysqli 添加数据字段

$type = 'testing';
$reporter = "John O'Hara";
$query = "INSERT INTO contents (type, reporter, description) 
             VALUES(?, ?, 'whatever')";
$stmt = $mysqli->prepare($query);
$stmt->bind_param("ss", $type, $reporter);
$stmt->execute();
代码有点复杂，但所有这些运算符的详细解释可以在我的文章《如何使用Mysqli运行INSERT查询》中找到，还有一个解决方案可以极大地缓解这个过程。
对于一个SELECT查询，你只需要添加一个对get_result()方法的调用，以获得一个熟悉的mysqli_result，你可以用通常的方法从中获取数据。
$reporter = "John O'Hara";
$stmt = $mysqli->prepare("SELECT * FROM users WHERE name=?");
$stmt->bind_param("s", $reporter);
$stmt->execute();
$result = $stmt->get_result();
$row = $result->fetch_assoc(); // or while (...)
使用PDO添加数据字段
$type = 'testing';
$reporter = "John O'Hara";
$query = "INSERT INTO contents (type, reporter, description) 
             VALUES(?, ?, 'whatever')";
$stmt = $pdo->prepare($query);
$stmt->execute([$type, $reporter]);
在PDO中，我们可以将绑定和执行部分结合起来，这非常方便。PDO还支持命名的占位符，有些人认为这非常方便。
添加关键词或标识符
有时我们必须添加一个变量，代表查询的另一部分，如一个关键词或一个标识符（数据库、表或字段名）。这是一种罕见的情况，但最好有所准备。
在这种情况下，你的变量必须与你的脚本中明确写出的数值列表进行检查。这在我的另一篇文章《根据用户的选择在ORDER BY子句中添加字段名》中有所解释。
不幸的是，PDO没有标识符（表和字段名）的占位符，因此开发者必须手动过滤掉它们。这样的过滤器通常被称为 "白名单"（我们只列出允许的值），而不是 "黑名单"，我们列出不允许的值。
所以我们必须在PHP代码中明确列出所有可能的变体，然后从中选择。
下面是一个例子。
$orderby = $_GET['orderby'] ?: "name"; // set the default value
$allowed = ["name","price","qty"]; // the white list of allowed field names
$key = array_search($orderby, $allowed, true); // see if we have such a name
if ($key === false) { 
    throw new InvalidArgumentException("Invalid field name"); 
对方向应使用完全相同的方法。
$direction = $_GET['direction'] ?: "ASC";
$allowed = ["ASC","DESC"];
$key = array_search($direction, $allowed, true);
if ($key === false) { 
    throw new InvalidArgumentException("Invalid ORDER BY direction"); 
在这样的代码之后，$direction和$orderby两个变量都可以安全地放在SQL查询中，因为它们要么等于允许的变体之一，要么会有一个错误被抛出。
最后要提到的是关于标识符，它们也必须根据特定的数据库语法进行格式化。对于MySQL来说，它应该是标识符周围的backtick字符。因此，我们的例子中的订单的最终查询字符串将是
$query = "SELECT * FROM `table` ORDER BY `$orderby` $direction";