'記号を使用するとPHPの挿入が機能しない

Question

mysqli trough PHPを使用してデータベースにテキストを挿入しようとしています。次のように

私のinsert文は次のとおりです。

$userID="1"; 
$description="Hi! It's been a while..."; //For example... 

$sql = "INSERT INTO projecten (user_ref, description) 
VALUES ('$userID','$description')"; 

if ($conn->query($sql) === TRUE) { 
    //redirect to right page 
} else { 
    //error message... 
} 

問題： は、私はいつも私が試した今、「TSはされて「」私のSQL構文に近い権利はない何かがあるというエラーメッセージが表示されます'シンボルを削除してコードが機能しますが、ユーザーが入力したいものを入力できるようにする必要があります...

私はこれについて何かできますか？

ありがとうございます！

Answer 1

使用bind_paramこれは、これらすべての文字列を処理し、あなたは、SQLインジェクション

$userID = "1"; 
$description = "Hi! It's been a while..."; //For example... 


$stmt = $conn->prepare("INSERT INTO projecten (`user_ref`, `description`) VALUES (?, ?)"); 
$stmt->bind_param('is', $userID, $description); 

/* execute prepared statement */ 
$stmt->execute(); 

printf("%d Row inserted.\n", $stmt->affected_rows); 

/* close statement and connection */ 
$stmt->close();