PHP에서 SQL 쿼리의 변수를 올바르게 사용하는 방법은 무엇입니까?

Question

SQL 쿼리에서 변수를 사용하기위한 올바른 형식은 무엇입니까? 네, 코드가 안전하지 않다는 것을 알고 있습니다. 왜냐하면 해시 코드와 다른 결함이 없기 때문에 코드가 안전하지 않기 때문에 작동하지 않습니다.

include 'config/database.php'; // DB connection. 
$password = mysql_real_escape_string($_POST['password']); 
$sql = 'INSERT INTO `login` (`id`, `username`, `password`, `question`) VALUES (NULL, \'test\', \$password\, \'test\')'; 

if (mysqli_query($con, $sql)) 
{ 
echo 'Done!'; 
} 

else 
{ 
echo 'No.'; 
} 

mysqli_close($con); 

오류

Connection worked! 

Fatal error: Uncaught Error: Call to undefined function mysql_real_escape_string() in C:\xampp\htdocs\hashing\password.php:3 Stack trace: #0 {main} thrown in C:\xampp\htdocs\hashing\password.php on line 3

그것의 단순한 PHP 양식 그 다음 PHP 스크립트 게시물. 나는 또한 phpMyAdmin에서 포맷 된 SQL 쿼리를 가지고있다. 감사!

Answer 1

귀하 대신 MySQL을 MySQLi (즉, 지금은 사용되지 않습니다)와 함께해야한다 XAMPP, 그래서 당신은 또한 당신이 당신의 SQL 쿼리에 넣어 각 변수를 탈출해야하고, 포함하는 대신 mysql_real_escape_string($var)

의 mysqli_real_escape_string($var)을 사용해야합니다 그것 :)!

$sql = 'INSERT INTO 로그인 ( ID , 이름 , 비밀번호 ) VALUES (NULL, \'test\', \''.$password.'\', \'test\')';