关于数据库查询然产生的bug

手里有一段老代码， 今天突然出BUG了，实际上这段代码在某些服务器上可以正常运 我已经修复 但是不清楚什么原因导致BUG产生，所以

<code> $edit=$_POST['edit'];
 $time=date("Y-m-d",time()-24*7*3600);
 $result =$db->fetch_all("select * from table where workid= $edit and scantime >\"". $time."\"");

修复后
 $edit=$_POST['edit'];
 $time=date("Y-m-d",time()-24*7*3600);
 $result =$db->fetch_all("select * from table where workid= $edit and scantime > $time  ");

主要是把]
scantime >\"". $time."\"" 这个条件替换为 scantime > $time 就能正常获取数据，
区别是执行mysql语句的判定条件由 scantime >"2016-01-28" 修改为scantime > 2016-01-28 在$time前后是否拼接双引号scantime 这个字段的类型是datetime 
事实上我之前的工作人员是用后一种写法查询不出数据知道改成前一种 ，今天我又改回来 ，不知道这个BUG原因究竟在哪 所以求助
</code>

回复内容：

手里有一段老代码， 今天突然出BUG了，实际上这段代码在某些服务器上可以正常运 我已经修复 但是不清楚什么原因导致BUG产生，所以

<code> $edit=$_POST['edit'];
 $time=date("Y-m-d",time()-24*7*3600);
 $result =$db->fetch_all("select * from table where workid= $edit and scantime >\"". $time."\"");

修复后
 $edit=$_POST['edit'];
 $time=date("Y-m-d",time()-24*7*3600);
 $result =$db->fetch_all("select * from table where workid= $edit and scantime > $time  ");

主要是把]
scantime >\"". $time."\"" 这个条件替换为 scantime > $time 就能正常获取数据，
区别是执行mysql语句的判定条件由 scantime >"2016-01-28" 修改为scantime > 2016-01-28 在$time前后是否拼接双引号scantime 这个字段的类型是datetime 
事实上我之前的工作人员是用后一种写法查询不出数据知道改成前一种 ，今天我又改回来 ，不知道这个BUG原因究竟在哪 所以求助
</code>

• 修改后 scantime > 2016-01-28 这个条件，由于 2016-01-28 不是合法的 DATETIME Literal，因此被转为 '0000-00-00 00:00' 处理了。请检查你查询的结果，只要 scantime 这个字段不为 NULL 都符合这个条件。

• 修改前不能正常获取数据，请在 MySQL 客户端手工执行相应查询调试错误，确认数据是否存在。

• 根据 MySQL 文档中，通常我们用单引号来包裹一个日期时间。

• 最后但很重要，这段代码是非常危险的，从 $_POST 得到一个来自用户（可能是黑客哦）的变量，不做任何 escape 处理就放到查询里，这存在 SQL 注入攻击的风险，是非常严重的安全隐患。

---

• MySQL ALLOW_INVALID_DATES

• MySQL Date and Time Literals

• PHP 文档关于 SQL 注入的说明