條件使用會話ID來顯示信息相關

Question

我正在尋找使用會話用戶id = PhysioReference（表中的字段），但它似乎不工作的條件？什麼是正確的方式還是有更好的方法？

其顯示在表中的信息，但只有在登錄的人已經指定了信息

$sql="SELECT * FROM IA WHERE IASubmitted= 'no' AND PhysioReference = $_SESSION['SESS_MEMBER_ID']"; 

Answer 1

$ SQL = 「SELECT * FROM IA TB1，TB2成員WHERE = tb1.PhysioReference tb2.member_id AND tb2.member_id =」 $ _ SESSION [ 'SESS_MEMBER_ID']。 $ result = mysql_query（$ sql）;

這到底是工作

Answer 2

文字表示你想要什麼會使用Complex (curly) in string variable syntax（壞主意）：

$sql="SELECT * FROM IA 
     WHERE IASubmitted= 'no' AND PhysioReference = ${_SESSION['SESS_MEMBER_ID']}"; 

這樣卻容易出現SQL Injection，而使用prepared statement：

$sql="SELECT * FROM IA 
     WHERE IASubmitted= 'no' AND PhysioReference = ?"; 

/* Prepared statement, stage 1: prepare */ 
if (!($stmt = $mysqli->prepare("INSERT INTO test(id) VALUES (?)"))) { 
    echo "Prepare failed: (" . $mysqli->errno . ") " . $mysqli->error; 
} 

/* Prepared statement, stage 2: bind and execute */ 
if (!$stmt->bind_param("i", $_SESSION['SESS_MEMBER_ID'])) { 
    echo "Binding parameters failed: (" . $stmt->errno . ") " . $stmt->error; 
} 

if (!$stmt->execute()) { 
    echo "Execute failed: (" . $stmt->errno . ") " . $stmt->error; 
}