PHP开发者常犯的10个MySQL错误(3)

$username = $_POST["name"];

$password = $_POST["password"];

$sql = "SELECT userid FROM usertable WHERE username=?$username?AND password=?$password?;"; // run query...

这样的代码，如果用户输入”admin’;”那么，就相当于下面这条了：

SELECT userid FROM usertable WHERE username=?admin?;

这样入侵者就能不输入密码，就通过admin身份登录了。

4.不使用UTF-8