PHP中包含SESSION变量的SQL查询语句出现语法错误求助

嗨，我来帮你排查这个问题～你遇到的语法错误，核心原因是在双引号字符串里直接使用带单引号键名的SESSION数组变量，PHP的解析器没办法正确识别这种写法。

先看你原来的代码：

$sql = "SELECT * FROM users WHERE company_id = $_SESSION['companyId']";

在双引号字符串中，如果你要使用关联数组（比如$_SESSION['companyId']），需要用大括号把整个数组变量包裹起来，修正语法的话可以改成这样：

$sql = "SELECT * FROM users WHERE company_id = {$_SESSION['companyId']}";

或者先把SESSION里的值赋值给一个普通变量，再拼进SQL里：

$companyId = $_SESSION['companyId'];
$sql = "SELECT * FROM users WHERE company_id = $companyId";

不过这里必须严肃提醒你：直接把会话变量拼进SQL语句里存在非常严重的SQL注入风险，这是绝对不安全的写法！

正确且安全的做法是使用预处理语句（Prepared Statements），通过参数绑定的方式传递变量，既解决语法问题，又能从根源上避免注入风险。示例代码如下：

session_start();
$companyId = $_SESSION['companyId'];

// 初始化预处理语句
$stmt = $connect->prepare("SELECT * FROM users WHERE company_id = ?");
// 绑定参数："i"表示参数为整数类型，若你的字段是字符串则用"s"
$stmt->bind_param("i", $companyId); 
$stmt->execute();
// 获取查询结果
$result = $stmt->get_result();

// 后续可以这样遍历结果：
// while ($row = $result->fetch_assoc()) {
//     // 处理每一行数据
// }

这种写法才是生产环境中应该遵循的标准方式哦～

备注：内容来源于stack exchange，提问作者Abhishek Tiwari