Как сделать mysql запрос?

Question

[Герман Коффман]

Добрый день! Не могу понять что не так. Делаю запрос, чтобы добавить в базу данных элемент, но php жалуется, что что-то я делаю не так. Пробовал очень много вариантов добавления (exet, prepare, execute), но все равно выдает ошибку. Подскажите, как ее исправить?

Код

$name = $_POST['name'];
$text = $_POST['text'];
$db = new PDO("mysql:host=localhost;dbname=Messager;", "root", "root");
$sql = "INSERT INTO `messages`(`name`, `text`) VALUES ($name, $text";
$db->exec($sql);

БД

Ошибка

Fatal error: Uncaught PDOException: SQLSTATE[42000]: Syntax error or access violation: 1064 You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near '' at line 1 in /Applications/MAMP/htdocs/Messanger/controllers/add.php:19 Stack trace: #0 /Applications/MAMP/htdocs/Messanger/controllers/add.php(19): PDO->exec('INSERT INTO `me...') #1 /Applications/MAMP/htdocs/Messanger/index.php(6): include_once('/Applications/M...') #2 {main} thrown in /Applications/MAMP/htdocs/Messanger/controllers/add.php on line 19

Answer 1

[Rsa97]

1. У вас синтаксическая ошибка в запросе, нет закрывающей скобки.
2. Надо использовать подготовленные выражения и не пихать в строку запроса данные, пришедшие от клиента.

Comments

[Герман Коффман]

Ага. То есть как-то так?

$sql = "INSERT messages (id, name, text) VALUES (:id, :name, :text);";
            $query = $db->prepare($sql);
        
            $params = ['sender_name' => $_POST['name'],'text' => $_POST['text']];
            $query->execute($params);

[Rsa97]

Герман Коффман, Примерно так. Только в параметрах должны быть все плейсхолдеры и только они. У вас не подставлены id и name, зато есть лишний sender_name.

[SagePtr]

Герман Коффман, да, но без id, т.к. он у вас автоинкрементный, судя по скриншоту, БД его сама подставит. Оставить только поля name и text.