迁移到mysqli

Question

我尝试将网络迁移到mysqli并提出第一个问题：

在mysql中我有这个：

$sel_user="SELECT * FROM usuarios WHERE user='$usuario_tienda'";
$rs_user=mysql_query($sel_user);
$tienda=mysql_result($rs_user,0,"tienda");

当我改为mysqli时，它看起来像这样：

$consulta_user="SELECT * FROM members WHERE username='$usuario_tienda'";
$query_user = mysqli_query($mysqli,$consulta_user);
$resultado_user = mysqli_fetch_assoc($query_user);
$tienda= $resultado_user['tienda'];

它有效，但我不认为这是最好的方法，我能做得更高效，更压缩吗？

Answer 1

你应该使用预备语句，使用它可以避免sql-injection hack

$stmt = $mysqli->prepare("SELECT * FROM usuarios WHERE user=:user");
$stmt->bindParam(':user', $usuario_tienda);
$result = $stmt->execute(); 
$resultado_user = $result->fetch_assoc();
echo $resultado_user['tienda'];