如何解析SQL查询中的参数值？

Question

function userIn($u, $prof) {
   $db->query("INSERT INTO OnlineUser (Name, ProfilePicURL) VALUES '$u', '$prof';
   echo '$u is in'
}

我应该如何将输入值解析为上述SQL查询？只需$ u和$ prof？或者＆＃39;（$ u）＆＃39;，（＆＃39; $ u＆＃39;）？

Answer 1

您错过了")，并在()

中附上了值

function userIn($u, $prof) {
   $db->query("INSERT INTO OnlineUser (Name, ProfilePicURL) VALUES ('$u', '$prof')");
   echo '$u is in';
}

还可以使用准备语句来防止SQL注入

Answer 2

要在查询中使用变量，请使用“Prepared statements”。根据{{​​1}}对象的类型，它可能如下所示（对于Prepared statements in PDO）：

$db