mysql_num_rows PHP 中的错误与 mysql_query

Question

嗨，我也太新了 php 和 mysql，由于用户的搜索，我想计算成员编号。但是，mysql_num_rows不起作用。

mysql_num_rows(mysql_query("SELECT * FROM members WHERE $title LIKE '%$_POST[search]%' LIMIT $start,$member_number"));

它说"mysql_num_rows（）：提供的参数不是..."

注意：$title是一个选择菜单，用户可以选择搜索位置。如您所知，限制是页面中显示的成员数量:)。

并且还$start= ($page-1)*$member_number;为了在该页面中设置第一个条目。我认为问题就在这里，但我无法解决。 :(

Answer 1

您的查询可能有错误，在这种情况下，mysql_query将返回false 。

因此，不应对此类命令进行分组。这样做：

$result = mysql_query("...");
if (!$result)
 { echo mysql_error(); die(); } // or some other error handling method
                                // like, a generic error message on a public site
$count = mysql_num_rows($result);

此外，代码中存在许多 SQL 注入漏洞。 您需要清理传入的$search变量：

$search = mysql_real_escape_string($_POST["search"]);
... mysql_query(".... WHERE $title LIKE '%$search%'");

如果$start和$end来自外部，您还需要在LIMIT条款中使用它们之前对其进行消毒。您不能在此处使用mysql_real_escape_string()，因为它们是数值。使用intval()确保它们仅包含数字。

从卫生的角度来看，使用动态列名称也很困难：您也无法在此处应用mysql_real_escape_string()。理想情况下，您应该与允许的列名称列表进行比较，以防止注入。

Answer 2

你必须在表单中使用GET方法，而不是POST。

mysql_num_rows在这里没有意义。
如果您使用的是限制，则您已经知道* .
如果你想知道数字，你不应该使用限制或请求行，而应该选择数字本身。

// get your $title safe
$fields = array("name","lastname");
$key = array_search($_GET['title'],$fields));
$title = $fields[$key];
//escape your $search
$search = mysql_real_escape_string($_GET['search']);
$sql = "SELECT count(*) FROM members WHERE $title LIKE '%$search%'";
$res = mysql_query($query) or trigger_error(mysql_error()." in ".$sql); 
$row = mysql_fetch_row($res);
$members_found = $row[0]

如果您只需要在页面上显示 5 条记录，则无需再次使用 mysql_num_rows（）：

// Get LIMIT params
$member_number = 5;
$start = 0;
if (isset($_GET['page'])){
  $start = abs($_GET['page']-1)*$member_number;
}
// get your $title safe
$fields = array("name","lastname");
$key = array_search($_GET['title'],$fields));
$title = $fields[$key];
//escape your $search
$search = mysql_real_escape_string($_GET['search']);
$sql = "SELECT count(*) FROM members 
          WHERE `$title` LIKE '%$search%' 
          LIMIT $start, $member_number";
$res = mysql_query($query) or trigger_error(mysql_error()." in ".$sql);
while($row = mysql_fetch_assoc($res){
  $data[] = $row;
}

现在，您已选择了$data中的行以供进一步使用。

Answer 3

这种错误通常表示您的SQL查询中存在错误 - 因此它没有成功，并且mysql_query()没有返回有效的资源;因此，不能将其用作mysql_num_rows()的参数。

您应该回显您的 SQL 查询，以检查它是否构建正常。

和/或者，如果mysql_query()返回false，您可以使用mysql_error()来获取错误消息：它将帮助您调试查询;-）

通常，您的代码看起来有点像这样：

$query = "select ...";  // note : don't forget about escaping your data
$result = mysql_query($query);
if (!$result) {
    trigger_error(mysql_error()." in ".$query); 
} else {
    // use the resultset
}