PHP發送查詢數據庫，報價不工作

Question

我有一個MySQL查詢像下面

mysql_query("select * from user where name='$name' LIMIT 1"); 

如果想從客戶端我輸入「約翰」會有MySQL錯誤在我的查詢。 防止這種情況的最佳做法是什麼？

Answer 1

首先，不推薦使用mysql_ *函數，而應該使用PDO或mysqli_。這兩個庫實現了準備好的語句，這些語句會自動避開您的輸入

如果你想使用mysql_ *代替，你必須調用mysql_real_escape_string到通過VAR

mysql_query("select * from user where name='" . mysql_real_escape_string($name) . "' LIMIT 1"); 

Answer 2

嘗試：

$query = sprintf("select * from user where name='%s', mysql_real_escape_string($name)); 
$result = mysql_query($query); 

確保$名稱中包含你認爲它（回聲它確認）。