最后显示登录失败，预处理语句在MYSQL是可以正常查询出结果的？

Question

$sql = "select `uid`, `username`, `allow_1`, `allow_2`, `allow_3` from `loger` where `username` ='?' and `password` = '?'";
$stmt = $pdo -> prepare($sql);

$stmt -> execute(array($_POST['username'], $_POST['password']));
}catch(PDOException $e) {
echo "ERROR: ".$e->getMessage();
}
if($stmt->rowCount() > 0) {

echo "登录成功!<br>";
}else {
echo "登录失败!<br>";
}

Answer 1

这种方法是不太好的, 更好一点的做法是:1, 取出username=:username的row, 如果找不到, 返回用户名不存在.2, 拿password == md5(:password) 来对比, 或者用其他的加密方式, 明文密码是万万不可取的, 甚至加密都要用一个 私钥 来保证.