如何在pdo中转义字符串？

Question

我想知道如何在pdo中转义字符串.我一直在逃避弹簧,如下面的代码,但现在用pdo我不知道怎么做

$username=(isset($_POST['username']))? trim($_POST['username']): '';
$previlage =(isset($_GET['previlage']));
$query ="SELECT * FROM site_user 
WHERE username = '".mysql_real_escape_string($_SESSION['username'])."' AND  previlage ='Admin'";
$security = mysql_query($query)or die (mysql_error($con));
$count = mysql_num_rows($security);

Answer 1

好吧,你可以使用PDO :: quote,但是,正如它自己的docpage中所说的......

如果您在使用此功能来构建SQL语句,我们强烈建议您使用PDO ::准备()准备与绑定参数,而不是使用PDO ::引用()的SQL语句对用户输入插成的SQL语句.

在你的情况下,它看起来像这样:

$query = "SELECT * 
            FROM site_user 
           WHERE username = :username AND previlage = 'Admin'";
$sth   = $dbh->prepare($query);
$sth->execute(array(':username' => $_SESSION['username']) );