如何用MD5加密MySQL密码？PDO绑定参数报错及密码验证问题

咱们一步步拆解你的问题，把它彻底解决掉：

1. 搞定「Only variables should be passed by reference」错误 #

这个报错的核心原因很明确：PDO的bindParam()方法要求第二个参数必须是变量的引用，而你直接传入md5($password)——这是函数返回的字符串值，不是变量，PHP自然会抛出这个警告。

解决起来很简单：先把MD5加密后的密码存入一个变量，再把这个变量传给bindParam()：

// 先将加密后的密码存入变量
$hashedPassword = md5($password);
// 再把变量传递给bindParam
$stmt->bindParam(":password", $hashedPassword, PDO::PARAM_STR);

2. 解决「输入正确密码却提示无效」的问题 #

你移除MD5调用后登录失败，除了上面的参数问题，还有一个致命的SQL语法错误：
你的SQL语句里用单引号包裹了表名和字段名（比如'user_id'、'users'），这在MySQL里是错误的——单引号是用来定义字符串常量的，表名/字段名应该用反引号（`）包裹（非关键字可以省略，但用反引号更稳妥）。

如果用单引号，数据库会把'user_id'当成一个固定字符串，而不是users表中的user_id字段，导致查询永远返回空结果，自然登录失败。

修正后的完整登录代码 #

public function login($email, $password){ 
    // 修正SQL中的单引号为反引号
    $stmt = $this->pdo->prepare("SELECT `user_id` FROM `users` WHERE `email`=:email AND `password` = :password"); 
    $stmt->bindParam(":email", $email, PDO::PARAM_STR); 
    
    // 先加密密码存入变量，再传递给bindParam
    $hashedPassword = md5($password);
    $stmt->bindParam(":password", $hashedPassword, PDO::PARAM_STR); 
    
    $stmt->execute(); 
    $user = $stmt->fetch(PDO::FETCH_OBJ); 
    $count = $stmt->rowCount(); 
    if($count > 0){ 
        $_SESSION['user_id'] = $user->user_id; 
        header('Location: home.php'); 
        // 跳转后记得退出，避免后续代码意外执行
        exit();
    }else{ 
        return false; 
    } 
}

额外的安全提醒 #

MD5是早已被破解的哈希算法，安全性极低，强烈建议你改用PHP原生的password_hash()和password_verify()函数处理密码：

• 注册用户时，用password_hash($password, PASSWORD_DEFAULT)生成安全哈希值存入数据库
• 登录时，用password_verify($password, $storedHash)验证密码，无需手动处理哈希对比

这样既安全，又能避免手动加密带来的各种潜在问题。

内容的提问来源于stack exchange，提问作者Priyanshu Shekhar Sinha