php - PHP 中的 SQL SELECT 语句

Question

哪一个是正确的？

在 PHP 中使用单引号与双引号以及使用 Oracle 11g db 时遇到问题...

<?php 
$query1  = oci_parse($conn, 'SELECT * FROM SCHEMA.TABLE_A WHERE B_ID=' . $id);
$query1  = oci_parse($conn, "SELECT * FROM SCHEMA.TABLE_A WHERE B_ID='" . $id . "'");
?>

Answer 1

如果 id 是数字，则不应引用该值。如果是字符串，则应该。

无论如何，使用字符串操作来创建 SQL 语句通常是一种不好的做法，它会使您的应用程序容易受到 SQL 注入(inject)攻击。 相反，您应该使用准备好的语句:

$query1 = oci_parse($conn, 'SELECT * FROM SCHEMA.TABLE_A WHERE B_ID=:id');
oci_bind_by_name($query1, ":id", $id);
oci_execute($query1);