Правильный способ передачи переменной PHP $ в MySQLI

Question

Мне интересно, как безопасно или правильно передать переменную $ в запрос. Я новичок в PHP, поэтому я задаю такой вопрос для начинающих. Вот пример один и два, какой из них правильный и безопасный из-за символов?

Пример один:

//here is the line I am asking about. The $identification 
$query = "SELECT * FROM `members` WHERE `username` = '$identification' LIMIT 1"; 

Пример два:

//here is the line I am asking about. The $identification 
$query = "SELECT * FROM `members` WHERE `username` = '" . $identification . "' LIMIT 1"; 

Мне не нужны ответы на вопросы о PHP 4 или 5 или PDO. Мне просто нужно знать, что это правильно:

Это

'" . $identification . "' 

Или это

'$identification' 

Answer 1

Как насчет

$query = 
"SELECT * FROM `members` WHERE `username` = '" . 
mysql_escape_string($identification) . 
"' LIMIT 1"; 

http://php.net/manual/en/function.mysql-escape-string.php

Однако mysql_escape_string устарел. Если вы можете, вы должны использовать mysql_real_escape_string

http://php.net/manual/en/function.mysql-real-escape-string.php

Answer 2

Я бы порекомендовал вам использовать PDO вместо Mysqli расширения (работает с PHP 5.1 и выше)

http://code.tutsplus.com/tutorials/why-you-should-be-using-phps-pdo-for-database-access--net-12059