PHP的-单引号或双引号围绕SQL查询？

Question

在整个SQL查询中使用单引号和使用双引号有什么区别吗？

哪个更好：

这种方法（带单引号）：

    $username = mysql_real_escape_string($username);
    $password = mysql_real_escape_string($password);

    $sql = 'SELECT * FROM users WHERE username = "' . $username . '" AND password = "' . $password . '" LIMIT 1';

？

或这种方法（使用双引号）：

    $username = mysql_real_escape_string($username);
    $password = mysql_real_escape_string($password);

    $sql = "SELECT * FROM users WHERE username = '{$username}' AND password = '{$password}' LIMIT 1";

有没有更好的方法可以做到这一点？

对我来说，我喜欢第一种方法，因为我总是更喜欢PHP中的单引号。因此，我想确保在整个SQL查询中使用单引号是可以的，并且在变量或数据周围使用双引号是可以的并且可以跨平台使用，并且可以与MySQL以外的其他数据库一起使用！

Answer 1

使用PDO代替这些方法中的任何一种。它将允许您使用参数而不是字符串。

$sth = $dbh->prepare('SELECT * FROM users WHERE username = :username AND password = :password LIMIT 1');
$sth->bindParam(':username', $username, PDO::PARAM_STR);
$sth->bindParam(':password', $password, PDO::PARAM_STR);
$sth->execute();

顺便说一句，请确保不要同时使用纯文本密码。