PHP中含SESSION变量的MySQL查询语法错误的解决方法

这个问题我太熟了！咱们先搞清楚错误根源，再给你最安全的解决方案：

为什么你的写法会报错？ #

你第一个写法里：

$sql = "SELECT * FROM session WHERE sessionid = '$_SESSION["id"]';";

PHP在解析双引号包裹的字符串时，会把$_SESSION["id"]里的双引号当成整个字符串的结束符——相当于你在字符串中间突然闭合了双引号，后面的内容就成了无效语法，所以触发了unexpected '"'的错误。

你试的第二种写法理论上是合法的：

$sql = "SELECT * FROM session WHERE sessionid = " . $_SESSION['id'] . ";";

如果还是报错，大概率是你代码里其他地方的语法问题（比如漏了分号、引号不匹配），但更重要的是：这种直接把变量拼进SQL的写法存在致命的安全风险——SQL注入，所以哪怕能跑通，也绝对不能用在生产环境里。

正确且安全的写法：使用预处理语句 #

预处理语句是PHP操作数据库的标准安全做法，它把SQL结构和数据分开处理，彻底避免引号嵌套问题和SQL注入攻击。下面给你两种常用扩展的实现方式：

1. 使用mysqli扩展 #

// 假设你已经通过mysqli_connect()建立了数据库连接$conn
$sessionId = $_SESSION['id'];

// 准备带占位符的SQL语句
$sql = "SELECT * FROM session WHERE sessionid = ?";
$stmt = $conn->prepare($sql);

// 绑定参数："s"表示参数是字符串类型（如果sessionid是数字，用"i"）
$stmt->bind_param("s", $sessionId);

// 执行查询并获取结果
$stmt->execute();
$result = $stmt->get_result();
$sessionData = $result->fetch_assoc(); // 获取单条数据

2. 使用PDO扩展 #

// 假设你已经通过new PDO()建立了数据库连接$pdo
$sessionId = $_SESSION['id'];

// 准备带命名占位符的SQL语句
$sql = "SELECT * FROM session WHERE sessionid = :sessionid";
$stmt = $pdo->prepare($sql);

// 绑定并执行参数
$stmt->execute(['sessionid' => $sessionId]);

// 获取结果
$sessionData = $stmt->fetch(PDO::FETCH_ASSOC);

如果你非要用字符串拼接（仅用于测试，禁止生产环境） #

如果只是临时测试想绕开引号问题，正确的拼接写法有这几种：

• 单引号字符串包裹SQL，内部用双引号索引SESSION：

$sql = 'SELECT * FROM session WHERE sessionid = "' . $_SESSION["id"] . '";';

• 双引号字符串里用单引号索引SESSION，拼接时注意引号闭合：

$sql = "SELECT * FROM session WHERE sessionid = '" . $_SESSION['id'] . "';";

• 双引号字符串里用花括号包裹数组变量：

$sql = "SELECT * FROM session WHERE sessionid = '{$_SESSION['id']}';";

但再次强调：这种方法完全不安全，绝对不能用于正式项目！

内容的提问来源于stack exchange，提问作者user10071963