意外''（T_ENCAPSED_AND_WHITESPACE），期望标识符（T_STRING）或变量（T_VARIABLE）或数字（T_NUM_STRING）错误[关闭]

Question

在注册脚本中，不断弹出错误。代码是这样的：

try {

 $dbh = new PDO("mysql:host=$hostname;dbname=booter", $username, $password);

    echo 'Connected to database<br />';

/*** INSERT data ***/
$count = $dbh->exec("INSERT INTO members(username, password, email) VALUES ('$_POST['username']', '$hashedpassword', '$_POST['email']')");


/*** close the database connection ***/
$dbh = null;
}
catch(PDOException $e)
{
echo $e->getMessage();
}

对此问题的任何修复（以及任何有助于提高安全性的提示）将不胜感激。

Answer 1

问题出在这一行：

('$_POST['username']', '$hashedpassword', '$_POST['email']')

哪些是 POST 数组中需要删除的引号。

但是，这根本不安全，您应该使用准备好的语句，因为它会让您对SQL injection 开放。

首先将变量分配给 POST 数组：

$username = $_POST['username'];
$hashedpassword = "The way you're getting this from";
$email = $_POST['email'];

然后使用 ? 作为占位符的预处理语句：

$query= "INSERT INTO members (username, password, email) VALUES (?, ?, ?)";
$result = $dbh->prepare($query);
$count = $result->execute(array($username, $hashedpassword, $email));

---

有关 PDO 准备语句的更多信息，请访问：

• http://php.net/pdo.prepared-statements

---

脚注：

我注意到您在https://stackoverflow.com/q/29177454/ 发布的另一个问题中说您正在使用mysqli_ 函数。

如果您仍在使用mysqli_ 进行连接，或者代码中的其他位置存在mysqli_ 函数，则不能混合使用 MySQL API。