将PHP变量传递给SQL查询

Question

    $user = mysql_real_escape_string($_POST["userlogin"]);

    mysql_connect("uritomyhost","myusername","password"); 
    mysql_select_db('mydatabase');
    mysql_query('UPDATE table SET field = field + ($userlogin)');

这是从post请求获取userlogin然后将其插入我的SQL查询的正确方法吗？

Answer 1

停止使用过时的功能并改用PDO.

$stmt = PDO::prepare('UPDATE table SET field = field + :field');
$stmt->execute(array('field' => $_POST["userlogin"]));

阅读有关PDO的一些信息.简而言之:它为您逃脱了数据,在数据库中非常一致,而且通常更容易.