php - 验证用户名和密码的最快方法 PHP - MySQL - MySQLi - PDO - 准备好的语句

Question

我是新手，这是我的第一篇文章。我希望有一天我能帮助像我这样的新手。同时，我提前感谢您的答复。

下面的脚本是检查 MySQL 数据库中用户名和密码是否匹配的最快和最有效的方法吗？

如果它实际上是最有效的，那么它的等价物是什么:

1 - 使用 MySQLi 使用(程序风格)。

2 - 使用 MySQLi(面向对象风格)。

3 – 将 MySQLi 与准备好的语句一起使用 - 面向对象的风格。

4 – 将 PDO 与准备好的语句一起使用 - 面向对象风格。

$connection = mysql_connect('localhost','root','pass') or die(mysql_error());
$database = mysql_select_db("database_name",$connection);

$sql = "SELECT count(*) FROM members WHERE username = '$username' AND 
password ='$password' LIMIT 1";

$result = mysql_query($sql) or die(mysql_error());

if (mysql_result($result, 0) > 0){

    echo 'found User <br />';
}

if (mysql_result($result, 0) < 1){

    echo 'username or password does not exist';
}

Answer 1

这个请求很弱，可以进行SQL注入(inject)。以下是如何将变量传递给您的查询:

$query = sprintf("SELECT COUNT(*) FROM members 
    WHERE username='%s' AND password='%s'",
    mysql_real_escape_string($username),
    mysql_real_escape_string($password));

$result = mysql_query($sql) or die(mysql_error());

否则这个查询似乎没问题。

在 PDO 中它会是这样的:

$pdo = new PDO('mysql:host='.$host.';dbname='.$database, $username, $password);
$query = $pdo->query('YOUR QUERY HERE');

if(is_object($query)) {
  while($result = $query->fetch()) {

    // Do your things here...
  }
}