php - 执行此 php 代码的正确方法是什么

Question

这个问题已经有答案了:

How can I prevent SQL injection in PHP? (27 个回答)

已关闭 8 年前。

我有这个查询

$query = "SELECT * FROM customers WHERE customer_name = '{$orders}'";

但是当$orders的值有一个单引号 (')例如:

$orders = "Carlo's shop";

查询返回错误。

有什么好的办法来处理这种情况吗？

Answer 1

将 PDO 与准备好的语句一起使用。请参阅reference docs .

$query = $pdo->prepare('SELECT * FROM customers WHERE customer_name= :orders');

$query->execute(array('orders' => $orders));

<小时/>

• 您还可以考虑使用 mysqli with prepared statements .