Что за ошибка mysqli?

Question

[artem20152000]

Вот запрос:
$query = "SELECT * FROM turi WHERE city='$city', country='$country', type_tour='$type_tour', tour='$tour', period_from='$period_from', period_to='$period_to', duration_from='$duration_from', duration_to='$duration_to', adult='$adult', children='$children', region LIKE '%$name_cit', cathegory LIKE '%$name_star', nutrition LIKE '%$name_nutri', price BETWEEN '$price' AND '$p_to'";
$res = mysqli_query($dbc, $query) or die(mysqli_error($dbc));

Вот ошибка:
You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near

В чем ошибка?

Comments

[1001001 111]

Ну во первых ошибка не в mysqli а в синтаксисе SQL.

Answer 1

[FanatPHP]

В ДНК, как водится.

Mysqli не используют тем чудовищным способом, каким ты привык пользоваться старым расширением mysql.
Все переменные должны попадать в запрос через плейсхолдеры, а запрос выполняться через prepare/execute
Если это слишком сложно, то используй более продвинутые библиотеки, PDO или SafeMysql.

А конкретно эта ошибка не имеет отношения к mysqli. Тебе надо сначала выучить базовый синтаксис SQL. Начни с синтаксиса WHERE

Comments

[Макс]

А чем пдо "продвинутее"? Mysqli умеет многое чего нельзя сделать через pdo

[FanatPHP]

Максим Попов: юзабельностью.

[nowm]

FanatPHP: Я надеюсь, что вы оставите наш уютный Тостер, когда вас разбанят на StackOverflow. От вас пользы практически никакой.

[FanatPHP]

Сергей Ронин: спасибо за ваше мнение. Увы, далеко не все разделяют его. Многие, как и я, считают, что польза состоит не в вытирании соплей великовозрастным балбесам, и не ответах в стиле капитана Очевидность.

Answer 2

[Макс]

SELECT 
    *
FROM
    turi
WHERE
    city = '$city' AND country = '$country'
        AND type_tour = '$type_tour'
        AND tour = '$tour'
        AND period_from = '$period_from'
        AND period_to = '$period_to'
        AND duration_from = '$duration_from'
        AND duration_to = '$duration_to'
        AND adult = '$adult'
        AND children = '$children'
        AND region LIKE '%$name_cit'
        AND cathegory LIKE '%$name_star'
        AND nutrition LIKE '%$name_nutri'
        AND price BETWEEN '$price' AND '$p_to'

Comments

[Макс]

Но это конечно очевидная SQL-inj