大きな問題があります - PDO (2)、rub-pdo_PHP チュートリアル

echo $pdo->quote($username);

この文を書いてから上記のチートコードを使用すると、出力にはさらに一重引用符が含まれ、自動的に次のコードが追加されます:

「または 1=1#」

ただし、これを行うと、$username への呼び出しが引用符付きで自動的に追加されるため、次の SQL ステートメントはそれに応じて変更されます。

$pdo->exec('use imooc_pdo');
$sql="select * from user where username={$username} andpassword='{ $パスワード}'";

ユーザー名をタグ付けする データベースがある場合にはこれを警戒する必要があるようです。

準備+実行の前処理方法を使用することをお勧めします。

3.2 準備されたステートメントでのプレースホルダーの使用

header('content-type:text/html;charset=utf-8');

$username=$_POST['username'];
$password=$_POST['password'];
try {
$pdo=new PDO('mysql:host=localhost;dbname=imooc','root','');
$pdo->exec('use imooc_pdo');
$sql="select *ユーザーから
ここで、username=:username およびpassword=:$password
"; $stmt=$pdo->prepare($sql);
$stmt->execute(array(":username"=> $username,":password"=>$password));
//$stmt=$pdo->query($sql); echo $stmt->rowCount();//結果セットを表示しますステートメント オブジェクト内の行数

} catch (PDOException $e) {

}

対応する SQL ステートメント、対応する実行、および渡す必要があるパラメーターも対応している必要があります。

$stmt=$pdo->prepare($sql);
$stmt->execute(array($username, $パスワード));
気分?方法はもっとシンプルで、入力プレースホルダー + 前処理 + SQL ステートメントでの実行 (複数のデータを渡すには配列を使用) の 3 つのポイントだけです。

パラメータを変数名にバインドします。

/*

* バインディングパラメータ
*/

header('content-type:text/html;charset=utf-8');

$pdo=new PDO('mysql:host=localhost;dbname=imooc','root','');
$pdo->exec('use imooc_pdo');

$sql="ユーザー(ユーザー名,パスワード,電子メール)の値を挿入(:ユーザー名,:パスワード,:電子メール)";
$stmt=$pdo- >prepare($sql); $username="Wid";$password="123";$email="324@qq.com" //パラメータを定義します

$stmt->bindParam(":username ", $username,PDO::PARAM_STR);
$stmt->bindParam(":password",$password);
$stmt->bindParam(":email",$email);
$stmt->execute(); $res=$pdo->query("select * from user");
foreach ($res as $row){ // 出力結果を表示します (戻り値に従って)状況)
// print_r($row);echo "
";
echo 'number:'.$row['id'];echo "
";
echo 'ユーザー名:' .$row['ユーザー名'];echo "
";
echo 'パスワード:'.$row['パスワード'];echo "
";
echo 'メール:' .$row['email'];echo "
";
echo "

}

実際、これは、わずかに反復的な操作を実行するために毎回 SQL ステートメントを変更する必要を避けるためです。

もちろんプレースホルダーを変更することもできます

// $stmt->bindParam(1,$username);
とにかく、

値をパラメータにバインドします。

/*

*/

header('content-type:text/html;charset=utf-8');
try {
$pdo=new PDO('mysql:host=localhost;dbname=imooc','root','');
$pdo->exec('use imooc_pdo');
$sql="ユーザー(ユーザー名,パスワード,電子メール)の値を挿入(:ユーザー名,:パスワード,:電子メール)";
// $sql="ユーザーを挿入(ユーザー名,パスワード,電子メール) 値(?,?,?)";
$stmt=$pdo->prepare($sql);

//假设電子メールパラメータ不变
$stmt-> bindValue(":email", 'shit@shit.com');
$username="Wade";$password="123";
$stmt->bindParam(":username", $username,PDO::PARAM_STR);
$stmt->bindParam(":password" ,$パスワード);
$stmt->execute();
$res=$pdo->query("select * from user");
foreach ($res as $row){ //查看输出结果（基底回帰情况）
// print_r($row);echo "
";
echo '编号:'.$row['id'];echo "
";
echo '用户名:' .$row['ユーザー名'];echo "
";
echo '秘密:'.$row['パスワード'];echo "
";
echo '邮箱:' .$row['email'];echo "
";
echo "

} catch (PDOException $e) {
echo $e->getMessage();
}

用途は、特定の値が固定されない場合に、量を固定できるパラメータ値です。

3.5 bindingColumn() メソッド決定パラメータ

$pdo=new PDO('mysql:host=localhost;dbname=imooc','root','');

$sql="ユーザーから * を選択";
$stmt=$pdo->prepare($sql);
$stmt->execute();
//制御输出

$stmt->bindColumn(2, $username);
$stmt->bindColumn(3,$password);
$stmt->bindColumn(4,$email);
while ($stmt->fetch(PDO::FETCH_BOUND)){
echo '用户名：'.$username.'-密码：'.$password.'-邮箱：'.$email.'

当然のことながら、結果は底部の列に集中しており、その後の各列が何であるかを確認できます: echo '結果集中の列数：'.$stmt->columnCount().'