使用 MySQL 准备好的语句选择多个列

Question

这成功地从表中检索数据，但这不使用 mySQL 准备好的语句。

$sql = "SELECT email, created_at, firstname, lastname FROM users WHERE id ='" . $_SESSION['id'] . "'";

$result = mysqli_query($link, $sql);

if (mysqli_num_rows($result) > 0) {

    // output data of each row

    while($row = mysqli_fetch_assoc($result)) {

        $email_address = $row["email"];

        $creatiom_time = $row["created_at"];

        $fname = $row["firstname"];

        $lname = $row["lastname"];

    }

}

如何将其转换为准备好的语句以防止 SQL 注入？我尝试转换它并没有检索到数据。

$stmt = mysqli_prepare($link, "SELECT email, created_at, firstname, lastname FROM users WHERE id=?");

$stmt->bind_param("i", $_SESSION['id']);

$stmt->execute();

$stmt->bind_result($email_address, $creatiom_time, $fname, $lname);

$stmt->close();

我究竟做错了什么？电子邮件是唯一的，所以这应该只返回一行；但是，当我使用上述准备好的语句时，没有返回任何内容。谢谢你。

Answer 1

您需要使用以下命令将行数据实际存储到绑定结果变量中fetch：$stmt = mysqli_prepare($link, "SELECT email, created_at, firstname, lastname FROM users WHERE id=?");$stmt->bind_param("i", $_SESSION['id']);$stmt->execute();$stmt->bind_result($email_address, $creatiom_time, $fname, $lname);$stmt->fetch();$stmt->close();echo $email_address; // etc.请注意，您确实应该检查这些调用的返回状态，尤其是prepare,execute和fetch。