PHP操作mysql 防注入 mysql

参数化绑定

$mysqli=new mysqli('localhost','root','root','weibo');

//参数用 ? 代替
$stmt = $mysqli->prepare("SELECT * FROM users WHERE `name`= ? and pwd = ?");

//绑定参数 第一个参数为sql参数的类型（i为int,d为double,s为string）,后面为sql语句对应的参数 '?'
$stmt->bind_param('ss', $username,$pwd);  

$username=$_REQUEST['username'];
$pwd=$_REQUEST['pwd']; 

$stmt->execute(); //执行
$res = $stmt->get_result(); //执行结果
$row = $res->fetch_assoc(); //从结果集中取得一行作为关联数组
				
if($row){
	$_SESSION['user']=$row;
	echo json_encode(array("code"=>1,"state"=>"success","user"=>$row));
}