QQ 交流群 124343668 欢迎交流
今天写到
SELECT DESCRIPTION FROM T_GLAMOUR_LOG
WHERE REVEICER_ID = #userID#
ORDER BY id DESC
LIMIT #amount#
老是报错...
后来才知道limit 后面不应该用#(我传进来的是String),而应该用$,
#与$的区别. (一般能用#的就别用$. )
#是把传入的数据当作字符串,如#amount#传入的是amount,则sql语句生成是这样,limit 'amount',会报错.
$传入的数据直接生成在sql里,如#amount#传入的是amount,则sql语句生成是这样,order by amount.
#方式能够很大程度防止sql注入. $方式无法防止sql注入.
$方式一般用于传入数据库对象.例如传入表名.