PHP拼接SQL查询语句时如何给变量值添加单引号

你当前的问题是SQL语句里字符串类型的查询值没有用单引号包裹，不符合SQL语法规则，以下是不同场景的实现方式：

仅做语法验证的基础拼接写法（禁止在生产环境使用） #

如果只是临时测试需要快速拼出符合语法的SQL，直接在变量拼接位的前后加上单引号即可，注意单引号要包裹在SQL字符串内部：

$user_name = "Bob";
$query = "SELECT id FROM `client` where name= '".$user_name."'";
// 输出结果：SELECT id FROM `client` where name= 'Bob'，完全符合语法要求

这种写法存在极高安全风险：如果$user_name是用户可控的传入参数，且内容里包含单引号（比如用户名是O'Bob），会直接触发SQL语法错误，攻击者还可以构造恶意参数实现SQL注入，拖取、篡改甚至删除全库数据。哪怕你手动写了转义逻辑，也很容易因为覆盖不全边界情况出现漏洞。

生产环境推荐的安全实现（从根源解决语法+注入问题） #

所有生产环境的数据库查询，都应该使用PDO或MySQLi扩展提供的预处理参数绑定功能，不需要手动给值加单引号，数据库驱动会自动处理语法适配、特殊字符转义，完全避免SQL注入风险：

• PDO实现（通用性更强，推荐优先使用）

// 初始化数据库连接
$pdo = new PDO('mysql:host=127.0.0.1;dbname=你的数据库名;charset=utf8mb4', '数据库账号', '数据库密码');
// SQL语句中值的位置用命名占位符代替，不需要手动加单引号
$statement = $pdo->prepare("SELECT id FROM `client` WHERE name = :name");
// 传入参数执行查询
$statement->execute([':name' => $user_name]);
// 获取查询结果
$result = $statement->fetchAll(PDO::FETCH_ASSOC);

• MySQLi面向对象实现

// 初始化连接
$mysqli = new mysqli('127.0.0.1', '数据库账号', '数据库密码', '你的数据库名');
$mysqli->set_charset('utf8mb4');
// SQL用?作为位置占位符
$statement = $mysqli->prepare("SELECT id FROM `client` WHERE name = ?");
// 绑定参数，第一个参数s表示传入的值是字符串类型
$statement->bind_param("s", $user_name);
$statement->execute();
// 获取结果
$result = $statement->get_result()->fetch_all(MYSQLI_ASSOC);

内容的提问来源于stack exchange，提问作者user18974397