PHP - SQL 查询周围的单引号或双引号？

Question

在整个 SQL 查询中使用单引号与使用双引号有什么不同吗？

哪个更好:

这种方法(带单引号):

    $username = mysql_real_escape_string($username);
    $password = mysql_real_escape_string($password);

    $sql = 'SELECT * FROM users WHERE username = "' . $username . '" AND password = "' . $password . '" LIMIT 1';

?

或者这种方法(使用双引号):

    $username = mysql_real_escape_string($username);
    $password = mysql_real_escape_string($password);

    $sql = "SELECT * FROM users WHERE username = '{$username}' AND password = '{$password}' LIMIT 1";

有没有更好的方法来完成这个？

对我来说，我喜欢第一种方法，因为我总是喜欢 PHP 中的单引号。所以我想确保在整个 SQL 查询周围使用单引号是可以的，在变量或数据周围使用双引号也是可以的，并且是跨平台的并且可以与 MySQL 以外的数据库一起使用!

Answer 1

使用PDO而不是这些方法中的任何一种。它将允许您使用参数而不是字符串。

$sth = $dbh->prepare('SELECT * FROM users WHERE username = :username AND password = :password LIMIT 1');
$sth->bindParam(':username', $username, PDO::PARAM_STR);
$sth->bindParam(':password', $password, PDO::PARAM_STR);
$sth->execute();

顺便说一句，请确保您没有同时使用纯文本密码。