Когда использовать одинарные, двойные кавычки и обратные апострофы в MySQL запросах из PHP?

Question

debug_master25 · 09.05.2026

Когда использовать одинарные, двойные кавычки и обратные апострофы в MySQL запросах из PHP?

Всем привет! Я только начал изучать PHP и MySQL, и у меня полная каша в голове с кавычками. Пишу простой скрипт для блога, где нужно вывести записи из таблицы, а потом добавить новую. Вроде бы всё просто, но я постоянно путаюсь, когда какую кавычку использовать.

Вот пример моего кода. Он работает, но я не уверен, что это правильно:

// Выборка данных
$query = "SELECT * FROM posts WHERE id = $post_id";
$result = mysqli_query($link, $query);

// Вставка новой записи
$title = "Мой новый пост";
$query = 'INSERT INTO posts (title, content) VALUES ("' . $title . '", "' . $content . '")';
$result = mysqli_query($link, $query);

Я вижу, что тут смешаны одинарные кавычки в PHP, двойные кавычки в SQL, и ещё где-то видел обратные апострофы для имён таблиц. Когда я пытаюсь использовать переменные прямо внутри строки, иногда всё ломается, особенно если в переменной есть апостроф (например, слово "don't").

Подскажите, пожалуйста, чёткие правила: когда ставить одинарные кавычки ' ', когда двойные " ", а когда обратные апострофы ` ` в контексте работы с MySQL из PHP? И как правильно подставлять переменные, чтобы не было SQL-инъекций и ошибок?

<<>>

Чёткое разграничение: PHP-кавычки, SQL-кавычки и обратные апострофы

Ваша путаница абсолютно нормальна для новичка. Давайте разложим всё по полочкам. У нас есть три уровня, где используются кавычки, и их нельзя смешивать.

1. Обратные апострофы (`) — только для имён таблиц и столбцов в SQL

Это экранирование зарезервированных слов MySQL. Используйте их, если имя совпадает с ключевым словом (например, order, group) или содержит спецсимволы. В обычной практике их можно не ставить, но это хороший тон:

// Правильно: обратные апострофы вокруг имени таблицы
$sql = "SELECT `id`, `title` FROM `posts` WHERE `status` = 'active'";

// Ошибка: обратные апострофы вокруг строкового значения
$sql = "SELECT * FROM `posts` WHERE `title` = `Мой пост`"; // НЕПРАВИЛЬНО

2. Двойные кавычки ("") — для строковых значений в SQL, но только внутри PHP-строки

В SQL строки должны быть в одинарных кавычках. Двойные кавычки в SQL — это нестандартное расширение MySQL. Всегда используйте одинарные кавычки для строк в SQL, чтобы код был переносимым:

// Правильно: SQL строка в одинарных кавычках
$sql = "SELECT * FROM posts WHERE title = 'Мой пост'";

// Потенциально опасно: двойные кавычки в SQL (зависит от режима SQL)
$sql = "SELECT * FROM posts WHERE title = \"Мой пост\""; // Лучше так не делать

3. Одинарные кавычки ('') в PHP — для литералов, двойные — для интерполяции

Это чисто PHP-механика:

Одинарные: строка как есть. Переменные не обрабатываются. Быстрее.
Двойные: интерпретируют переменные и escape-последовательности (\n, \t и т.д.)

Главная проблема вашего кода: SQL-инъекция

Вы вставляете переменные напрямую в строку. Это категорически нельзя делать в реальных проектах. Используйте подготовленные запросы (prepared statements) через PDO или MySQLi:

// ПРАВИЛЬНЫЙ ПОДХОД с PDO (рекомендуется)
$pdo = new PDO('mysql:host=localhost;dbname=test', 'user', 'pass');
$pdo->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);

// Выборка
$stmt = $pdo->prepare("SELECT * FROM posts WHERE id = :id");
$stmt->execute(['id' => $post_id]);
$post = $stmt->fetch();

// Вставка (проблема с кавычками в значениях решена автоматически)
$stmt = $pdo->prepare("INSERT INTO posts (title, content) VALUES (:title, :content)");
$stmt->execute([
    'title' => $title,
    'content' => $content
]);

Практические правила для новичка:

В PHP для SQL-запросов всегда используйте двойные кавычки — так удобнее вставлять переменные (но только через подготовленные запросы!).
Внутри SQL-запроса строки всегда в одинарных кавычках: 'значение'.
Обратные апострофы ставьте вокруг имён таблиц/столбцов только если они совпадают с зарезервированными словами MySQL.
Никогда не конкатенируйте строки для вставки переменных в SQL — используйте плейсхолдеры :name или ?.

Пример с MySQLi (объектный стиль):

$mysqli = new mysqli('localhost', 'user', 'pass', 'test');
$stmt = $mysqli->prepare("SELECT * FROM posts WHERE title = ?");
$stmt->bind_param('s', $searchTitle); // 's' = string
$stmt->execute();
$result = $stmt->get_result();

Запомните: подготовленные запросы решают 99% проблем с кавычками и безопасностью. Не экономьте на них!

<<>>

Альтернативный взгляд: когда кавычки всё-таки можно комбинировать

Коллега выше дал исчерпывающий ответ, но я добавлю пару нюансов для тех, кто пишет простые скрипты без фреймворков.

Иногда вам нужно экранировать вручную, если нет доступа к PDO. В этом случае используйте mysqli_real_escape_string():

$title = mysqli_real_escape_string($link, $_POST['title']);
$sql = "INSERT INTO posts (title) VALUES ('$title')"; // Безопасно, но муторно

Обратите внимание: я всё равно ставлю переменную в двойных кавычках PHP, а значение в SQL — в одинарных. Это работает, потому что mysqli_real_escape_string уже экранировал все опасные символы внутри $title.

Ещё один частый кейс — динамические имена таблиц. Их нельзя подставить через плейсхолдеры PDO. Приходится использовать ручное экранирование и обратные апострофы:

$tableName = 'posts'; // Предварительно проверено: только буквы и цифры
$sql = "SELECT * FROM `$tableName` WHERE id = ?";

Но помните: это костыль. В идеале — белый список допустимых имён таблиц.

И последнее: не бойтесь обратных апострофов. Если вы пишете SELECT * FROM posts — они не нужны. Но если таблица называется order (зарезервированное слово), без них будет синтаксическая ошибка. Привыкайте ставить их всегда — это не навредит, но спасёт от редких багов.

0 ответов