ошибка синтаксиса, неожиданный T_ENCAPSED_AND_WHITESPACE, ожидающий T_STRING или T_VARIABLE или T_NUM_STRING

Question

Я не знаю, что случилось с моим кодом. он говорит в строке 11 перед именем $ sqlUPDATEUsername. Я делаю изменение имени пользователя и пароля.

$errorEmessage = '&nbsp'; 
     $NEWusername = $_POST['Nusername']; 
     $CONusername = $_POST['Conusername']; 
     $NEWpassword = $_POST['Npassword']; 
     $CONpassword = $_POST['Conpassword']; 

     $sqlUPDATEUsername = "UPDATE user_accounts SET USERNAME = '$NEWusername' WHERE EMPOYEE_ID = $_SESSION['ID']"; 
     $sqlCheckUsername = "SELECT * FROM user_accounts WHERE userID('EMPOYEE_ID') = $_SESSION['ID']"; 
     $RunSqlCU = mysql_query($sqlCheckUsername); 
     $row = mysql_fetch_array($RunSqlCU); 

Answer 1

Вам необходимо продезинфицировать ввод пользователя. Всякий раз, когда вы вставляете строку в чужой код, вы должны избегать ее в соответствии с правилами этого языка. Например, если вы вставляете строку в какой-то SQL-таргетинг на MySql, вы должны избежать строки с функцией MySql для этой цели (mysql_real_escape_string).

использование

$NEWusername = mysql_real_escape_string($_POST['Nusername']); 

Другой пример HTML: Если вы вставлять строки в HTML-разметки, вы должны экранировать его с htmlspecialchars. Это означает, что каждое заявление эха или печати должно использовать htmlspecialchars.