php - 不确定如何在 mysql 中使用 php 变量

Question

这将返回一个空白屏幕。我具体需要做什么来测试 session 变量是否在数据库中并从不同的列返回相应的值？

$sql = "SELECT email FROM fgusers3
WHERE username = '$_SESSION['username']'";
$result = $conn->query($sql);

Answer 1

在 PHP 中使用 PHP 变量最正确的方法是使用准备好的语句。

$query = $dbh->prepare("SELECT email FROM fgusers3 where username=:username")
$query->execute(array(":username"=>$_SESION['username']));

这远优于涉及直接字符串连接的解决方案，并且仍然优于涉及字符串转义的解决方案。

您不应该像其他一些答案那样使用直接字符串连接的原因是它会导致 SQL 注入(inject)。攻击者可以使用精心制作的字符串轻松获得对您数据库的完整访问权限。

上面的例子使用了 PDO，在我看来，它是一个比 mysqli 优越得多的 API。 Mysqli 还有prepared statements它的用法相似，但语法不同。