Как правильно обработать одинарную кавычку в SQL запросе через PDO?

Question

[Андрей]

Здравствуйте, не понятная для меня ситуация.

Данные сохраняю через

$sth = $this->db->prepare($sql);
$result = $sth->execute($params);

Данные в базу сохраняются, но! PDO выдаёт ошибку:

Warning: PDOStatement::execute(): SQLSTATE[42000]: Syntax error or access violation: 1064 You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near '[e-mail]'' at line 1 in ...\application\model\M_Database.php on line 49

В $sth значение с кавычкой хранится так:

':email' => string(18) "a'[e-mail]"

Что я делаю не так и как это исправить?

Answer 1

[Александр Аксентьев]

https://secure.php.net/manual/en/pdostatement.bind...

Comments

[Андрей]

Немного не понятно, чем это лучше prepare?

[Александр Аксентьев]

Андрей: это не замена prepare, а как раз таки дополнение его функционала. Отличаться как раз должно тем что вашей ошибки не должно быть ибо делается экранирование.

[Андрей]

Александр Аксентьев: Действительно помогло, спасибо

Answer 2

[Анатолий]

А у вас похоже SQL типа такого:
SELECT * FROM table WHERE email = ':email'

Я бы советовал изменить на:

SELECT * FROM table WHERE email = :email

Доверьтесь пдо, не экранируйте переменные сами