MySQL作成済みステートメントの作成

Question

私は自分のSQLデータを保護する経験は全くありません。私は準備されたステートメントを使用してWebサービスに対するインジェクション攻撃を防止しようとしています。私はいくつかのチュートリアルを続けましたが、私が実装したそれぞれが私のPHPスクリプトを殺しました。どのように私はこのクエリを保護することができますか？私はこのコードが動作しない理由は本当にわからないんだけど

$value = (integer)$_GET["name"]; 
$sql = $dbConnection->prepare('SELECT `coordinates`, `center` , `content_string` FROM Regions WHERE `id` = ?'); 
$sql->bind_param('i', $value); 

$sql->execute(); 

$result = $sql->get_result(); 

$rows = array(); 

if ($result->num_rows > 0) { 
     // output data of each row 
     while($r = mysqli_fetch_assoc($result)) { 
     $rows[] = $r; 
     } 
} 

：

$value = (integer)$_GET["name"]; 
$sql = "SELECT `coordinates`, `center` , `content_string` FROM Regions WHERE `id` = {$value}"; 

$result = $conn->query($sql); 

$rows = array(); 

if ($result->num_rows > 0) { 
     // output data of each row 
     while($r = mysqli_fetch_assoc($result)) { 
     $rows[] = $r; 
     } 
    } 

は、ここに私の試みです。 MySQLiを

$servername = "localhost"; 
$username = "username"; 
$password = "password"; 
$dbname = "myDB"; 

// Create connection 
$conn = new mysqli($servername, $username, $password, $dbname); 

// Check connection 
if ($conn->connect_error) { 
    die("Connection failed: " . $conn->connect_error); 
} 

// prepare and bind 
$stmt = $conn->prepare("INSERT INTO users (username, email) VALUES (?, ?)"); 
$stmt->bind_param("ss", $username, $email); 

// set parameters and execute 
$username= "John"; 
$email = "john@example.com"; 
$stmt->execute(); 

$username= "Mary"; 
$email = "mary@example.com"; 
$stmt->execute(); 

echo "New records created successfully"; 

$stmt->close(); 
$conn->close(); 

PHPのヒントやトリックと

Answer 1

プリペアドステートメント。 http://www.phptherightway.com/

セキュリティについて心配している場合、これは私が大好きなトピックです。 What are the best PHP input sanitizing functions?。

Answer 2

結果をバインドする必要があります。コードは以下のとおりです。試してみてください。私のコードに構文上の問題がないかどうか確認してください。それ以外の場合は動作します。

$value = (integer)$_GET["name"]; 
$sql = $dbConnection->prepare('SELECT 'coordinates', 'center' , 'content_string' FROM Regions WHERE `id` = ?'); 
$sql->bind_param('i', $value); 
$sql->execute(); 
$sql->bind_result($coordinates, $center, $content_string) 

while($sql->fetch()) 
{ 
    echo $coordinates; 
    echo $center; 
    echo $content_string; 
}