予期しないT_ENCAPSED_AND_WHITESPACE、T_STRINGまたはT_VARIABLEまたはT_NUM_STRINGを予期しない構文エラー

Question

私のコードに何が問題なのか分かりません。 $ sqlUPDATEUsernameの前の11行目に表示されます。私はユーザー名とパスワードの変更を行っています。

$errorEmessage = '&nbsp'; 
     $NEWusername = $_POST['Nusername']; 
     $CONusername = $_POST['Conusername']; 
     $NEWpassword = $_POST['Npassword']; 
     $CONpassword = $_POST['Conpassword']; 

     $sqlUPDATEUsername = "UPDATE user_accounts SET USERNAME = '$NEWusername' WHERE EMPOYEE_ID = $_SESSION['ID']"; 
     $sqlCheckUsername = "SELECT * FROM user_accounts WHERE userID('EMPOYEE_ID') = $_SESSION['ID']"; 
     $RunSqlCU = mysql_query($sqlCheckUsername); 
     $row = mysql_fetch_array($RunSqlCU); 

Answer 1

あなたはユーザー入力を消毒する必要があります。 外部コード内に文字列を埋め込むときは、その言語の規則に従って文字列をエスケープする必要があります。たとえば、あるSQLターゲティングMySqlに文字列を埋め込む場合、この目的のためにMySqlの関数で文字列をエスケープする必要があります。(mysql_real_escape_string)。

使用

$NEWusername = mysql_real_escape_string($_POST['Nusername']); 

別の例は、HTMLである：あなたがHTMLマークアップ内の文字列を埋め込む場合は、htmlspecialcharsでエスケープしなければなりません。これは、すべての単一エコーまたはプリントステートメントがhtmlspecialcharsを使用する必要があることを意味します。