mysqlでのシングルクォーテーションの使い方

Question

以下のコードを見つけたのですが、なぜ'$add_review'のようにシングルクォーテーションがついているのですか？

$sql = "INSERT INTO
					reviews(
						review_comment,
						review_date,
						review_product_id,
						review_user_id
					)
				VALUES (
					'$add_review',
					NOW(),
					$product_id,
					$user_id
				)";

ちなみに、シングルクォーテーションを外すと、以下のようなエラーが出ます。

Fatal error: Uncaught PDOException: SQLSTATE[42S22]: Column not found: 1054 Unknown column 'とけい' in 'field list' in /Applications/MAMP/htdocs/bulletin/app/functions/review.php:74 Stack trace: #0 
/Applications/MAMP/htdocs/bulletin/app/functions/review.php(74): PDOStatement->execute() #1 
/Applications/MAMP/htdocs/bulletin/public/detail.php(64): add_review('1', '\xE3\x81\xA8\xE3\x81\x91\xE3\x81\x84', Object(PDO)) #2 {main} thrown in 
/Applications/MAMP/htdocs/bulletin/app/functions/review.php on line 74

ご教授よろしくお願いします。

Answer 1

文字列リテラルだからでは？

Comments

[OHASI]

ご回答ありがとうございました。

Answer 2

そもそも論として、SQL文中で変数展開を行うのは、SQLインジェクションの原因となり、一般に書き方が良くないです。

プリペアドステートメントを使って、SQL文と値をくっきり分けて処理することをおすすめします。

Comments

[OHASI]

丁寧に回答してくださり、ありがとうございました。

Answer 3

SQLでは文字リテラルはシングルクォーティングするのが決まりです。

Comments

[OHASI]

ご回答ありがとうございました。