SQL SELECT statement в PHP

Question

Какая из них правильная?

Возникли проблемы с одинарные кавычки против двойных кавычек в PHP и используя Oracle 11g дб ...

<?php 
$query1 = oci_parse($conn, 'SELECT * FROM SCHEMA.TABLE_A WHERE B_ID=' . $id); 
$query1 = oci_parse($conn, "SELECT * FROM SCHEMA.TABLE_A WHERE B_ID='" . $id . "'"); 
?> 

Answer 1

Если идентификатор Числовой, вы не должны процитировать значение. Если это строка символов, вы должны.

Независимо от того, что использование строковых манипуляций для создания инструкции SQL обычно является плохой практикой, которая делает ваше приложение уязвимым для атак SQL-инъекций. Вместо этого следует использовать подготовленное заявление:

$query1 = oci_parse($conn, 'SELECT * FROM SCHEMA.TABLE_A WHERE B_ID=:id'); 
oci_bind_by_name($query1, ":id", $id); 
oci_execute($query1);