php - 我应该如何在 mysql_query 函数中编写 PHP $_POST 变量？

Question

简单的问题。我如何使查询工作？我知道您不能在查询中直接使用 $_POST。但我不知道如何让它工作。

$sql    = 'SELECT * FROM users WHERE `password` = $_POST[password] AND `username` = $_POST[username]';
$result = mysqli_query($link, $sql);

if (!$result) {
echo "DB Error, could not query the database\n";
echo 'MySQL Error: ' . mysqli_error($link);
exit;

我也试过像这样使用 mysqli_real_escape_string :

    $username_sql = mysqli_real_escape_string($link, $_POST['username']);
    $password_sql = mysqli_real_escape_string($link, $_POST['password']);

这没有按计划进行。因为它仍然不起作用。

谢谢，

迈克

Answer 1

使用''与MySQL的字符串比较

$username_sql = mysqli_real_escape_string($link, $_POST['username']);
$password_sql = mysqli_real_escape_string($link, $_POST['password']);

$sql = "SELECT * FROM users 
WHERE `password` = '$username_sql' AND `username` = '$password_sql'";