php - php中的网上银行代码

Question

$result = mysql_query("SELECT * FROM customers WHERE loginid= $_POST['loginid'] AND accpassword= $_POST['accpassword']");

解析错误：语法错误，意外的 '' (T_ENCAPSED_AND_WHITESPACE)，在第 6 行的 C:\wamp\www\index.php 中需要标识符 (T_STRING) 或变量 (T_VARIABLE) 或数字 (T_NUM_STRING)

score 1 · Accepted Answer

基本 PHP 语法：不能在带"引号的字符串中使用带引号的数组键：

$value = "$array['key']"; // bad
$value = "$array[key]"; // ok
$value = "{$array['key']}"; //ok, alternate syntax

您也容易受到SQL 注入攻击。这是非常糟糕的，因为你说这是用于网上银行代码......

score 0 · Accepted Answer

这里有多个问题。

1：您的 sql 变量值没有用单引号括起来。

2：您引用的变量（数组）需要大括号围绕它们

IE：SELECT foo FROM tbl WHERE bar = '"{$_POST['something']}"'

3：您的变量没有被转义/清除。你应该清理你的数据！

2 回答 2