[SQL + PHP] Wieso stimmt diese Query nicht?

[fred.reichbier]

Hallo!

Ich verzweifle grade an einer MySQL-Query, die ich in PHP erstelle:

Code:

$query = 'INSERT INTO "voting" ("ID","IP","Name","Kommentar","Voting") ' .
            'VALUES("' . $_POST['ID'] . '", "0", "' . $_POST['Name'] . '", "' . $Kommentar . '", "' . $_POST['Voting'] . '")';

Wenn ich die Query ausgebe, sieht das so aus:

INSERT INTO "loewenzahnvoting" ("ID","IP","Name","Kommentar","Voting") VALUES("1", "0", "Test", "Testkommentar", "1") Und wenn ich das ganze dann mit mysql_query ausführe, kommt das:

Zitat:

1064: You have an error in your SQL syntax. Check the manual that corresponds to your MySQL server version for the right syntax to use near '"voting" ("ID","IP","Name","Kommentar","Voting") VALU

Was mache ich da falsch?

Danke im Voraus,

Fred

[S2B]

Warum schreibst du denn die Anführungszeichen um den Namen der Tabelle und die Namen der Spalten? Ich könnte mir vorstellen, dass MySQL damit Probleme haben könnte.

Edit: @r_kerber: mit o.

[r_kerber]

Versuche doch mal alle Anführungszeichen wegzulassen.

Oops, Siman war schneller.

[fred.reichbier]

Danke, funktioniert!
Da stand ich aber mächtig aufm Schlauch...
Wieso hab ich die Anführungsstriche da eigentlich hingemacht?

[Flocke]

Wenn du unbedingt Anführungszeichen machen musst (z.B. bei Leerzeichen in den Feldnamen), dann nimm für MySQL Backticks (Shift + das Apostroph rechts neben ß).

Code:

INSERT INTO `loewenzahnvoting` (`ID`,`IP`,`Name`,`Kommentar`,`Voting`)

[r_kerber]

Zitat von Flocke:

Wenn du unbedingt Anführungszeichen machen musst (z.B. bei Leerzeichen in den Feldnamen), dann nimm für MySQL Backticks (Shift + das Apostroph rechts neben ß).

Das würde ich nicht tun, weil damit die Kompatibilität zu anderen Datenbanken verloren geht!

[Flocke]

Zitat von r_kerber:

Zitat von Flocke:

Wenn du unbedingt Anführungszeichen machen musst (z.B. bei Leerzeichen in den Feldnamen), dann nimm für MySQL Backticks (Shift + das Apostroph rechts neben ß).

Das würde ich nicht tun, weil damit die Kompatibilität zu anderen Datenbanken verloren geht!

Sicher, andere Datenbanken können damit wenig anfangen.

Aber was soll er denn tun, wenn er Anführungszeichen machen muss? (ich habe das ja auch speziell auf MySQL eingeschränkt!)

(Sicher: die Felder so definieren, dass man keine braucht - aber manchmal kann man sich das nicht aussuchen, da man die Datenbank nicht selbst entworfen hat)

[r_kerber]

Zitat von Flocke:

Aber was soll er denn tun, wenn er Anführungszeichen machen muss?

Muß er ja nicht. Selbst die Admin-Tools von MySQL bieten an, SQL-Statements mit oder ohne diese merkwürdigen Striche zu erstellen. Und verarbeiten kann MySQL das sowieso auch ohne...

[fred.reichbier]

Ich muss keine Anführungszeichen machen.

[TillWe]

Abgesehen vom Problem:
Schreibe

$bla = mysql_real_escape_string($_POST['bla']);

Und $bla in die Datenbank und nicht $_POST['bla'] .

Das unterbindet MySQL-Injektion.



mfg