bindParam不工作

Question

我正在嘗試爲用戶創建一個表並防止sql注入。

$hash = sha1($password); 
$stmt = $conn->prepare("insert into users (username, password) values (':username','$hash');"); 
$stmt->bindParam(':username', $user); 
$stmt->execute(); 

出於某種原因，它存儲到表中，如：用戶名，而不是我想要使用的。有人看到反對錯誤？

Answer 1

嘗試在聲明中結合:username沒有singlequotes：

$stmt = $conn->prepare("insert into users (username, password) values (:username,'$hash');"); 

SHA1是不夠的密碼哈希值，順便說一句。