В чем моя ошибка в запросе?

Question

[Вадим]

Всем привет.

Подскажите, почему возникает ошибка при insert?

$result = $conn->query("INSERT INTO viber_messages ('datetimemsg', 'id_viber', 'message') VALUES ('?s', '?s', '?s')", $datetimemsg, $sender_id, $message); // Warning: mysqli::query() expects at most 2 parameters, 4 given

3 параметра и 3 переданы ведь?

Но если его запускать так то все ок: (но как я понимаю так делать не правильно)

$result = $conn->query("INSERT INTO viber_messages ('datetimemsg', 'id_viber', 'message') VALUES ('$datetimemsg', '$sender_id', '$message')); // TRUE

Comments

[Дмитрий]

Потому что вы попутали запрос с библиотеки одного товарища и чистый myspli
Там все на много сложнее в чистом mysqli с плэйсхолдерами, как вариант переехать на PDO

[Slava Rozhnev]

https://www.php.net/manual/ru/mysqli.query.php

[Дмитрий]

Slava Rozhnev, https://www.php.net/manual/ru/mysqli.prepare.php лучше так

[Вадим]

Дмитрий, точно, делал по статье и не обратил внимание что там дополнительная библиотека подключаются и в тексте ничего об этом не сказано -_-, главное перечитал всё а на код внимательней не посмотрел :D

Answer 1

[Rsa97]

Ошибка потому, что ваш вызов $conn->query(...) транслируется в mysqli::query($conn, ...), а эта функция ждёт ровно два параметра. Первый - соединение, второй - текст запроса.
Для использования подготовленного запроса, его необходимо сначала подготовить (prepare), затем связать плейсхолдеры с переменными (bind_param) и только после этого выполнить (execute).
Ну и апострофы у вас неправильные, имена баз данных, таблиц, и полей берутся в обратные апострофы (`).

Comments

[Вадим]

Благодарю, пользуясь случаем, подскажите еще в чем разница между ("), (') и (`) если с помощью их брать название таблиц, полей? Ведь я могу и вовсе не брать их в апострофы.

UPD. Немножко погуглив нашел что это нужно для экранирования, и всё?

[Rsa97]

Вадим, Обратные апострофы нужны, если имена полей совпадают со служебными словами или содержат некоторые символы, например дефис.
news-info - разность полей `news` - `info`.
`news-info` - поле с дефисом.

[Дмитрий]

Вадим, бывает когда имя поля совпадает с каким либо служебным словом, и парсер запроса может брыкаться

Answer 2

[Slava Rozhnev]

Пожалуйста ознакомьтесь с документацией модуля mysqli Prepared statements

$stmt = $mysqli->prepare('INSERT INTO viber_messages (`datetimemsg`, `id_viber`, `message`) VALUES (?, ?, ?);');
$stmt->bind_param('sss', $datetimemsg, $sender_id, $message);

$stmt->execute();

Share PHP code

Answer 3

[KirillKenigsberg]

Вообще 2 вариант нормальный вроде.Попробуйте вывести ошибку тогда и посмотрим

Comments

[Вадим]

Но разве если использовать 2ой вариант то можно провернуть sql инъекцию или нет? (я в этом не разбираюсь просто изначально хотелось бы максимально обезопаситься)
В конце строки есть закомментированные ответы после исполнения данных строк.

[FanatPHP]

KirillKenigsberg не следует путать форму для комментария с формой для ответа

[Дмитрий]

Вадим, в коментариях ссылка, тут есть товарищ, который написал библиотеку, который в первой строке
https://qna.habr.com/user/FanatPHP

[FanatPHP]

Вадим, ну разумеется можно. Это самый классический вариант и есть