bindParam不工作

Question

我正在尝试为用户创建一个表，并防止sql注入。

$hash = sha1($password);
$stmt = $conn->prepare("insert into users (username, password) values (':username','$hash');");
$stmt->bindParam(':username', $user);
$stmt->execute();

出于某种原因，它在表中存储为:username，而不是我试图使用的内容。有没有人看错了？

Answer 1

尝试绑定语句中不带单引号的:username：

$stmt = $conn->prepare("insert into users (username, password) values (:username,'$hash');");

sha1对于密码散列是不够的，顺便说一下。