PHP 和 MYSQL - 查询变量

Question

好的，我有这个 PHP $_POST['username'] 变量，我需要通过 MYSQL 查询用户的所有信息。唯一的问题是它不断向我抛出错误。

类似的东西

$user = $_POST['username'];
$query = mysql_query("SELECT * FROM user WHERE username = $user");

我已经尝试过

$query = mysql_query("SELECT * FROM user WHERE username = `$user`");
$query = mysql_query("SELECT * FROM user WHERE username = ".$user);

不知道我做错了什么。

Answer 1

您的问题是 SQL 中的字符串需要用单引号引起来。

最好的方法是使用 PDO 。但是sprintf (与 mysql_real_escape_string 一起)是比发布的更好的临时方法:

$query = sprintf("SELECT u.* 
                    FROM USER u
                   WHERE u.username = '%s'",
                  mysql_real_escape_string($_POST['username']));

$result = mysql_query($query);

以免我们忘记Little Bobby Tables ;)