【解決方法】解析エラー: 構文エラー、予期しない変数 "$SQL" C:\xampp\htdocs\demo\login.php の 27 行目

<?php
session_start();
include "db_conn.php";

if(isset($_POST['uname']) && isset($_POST['password'])) {

    function validate($data) {
        $data = trim($data);
        $data = stripslashes($data);
        $data = htmlspecialchars($data);
        return data;
    }
}

$uname = validate($_POST['uname']);
$pass = validate($_POST['password']);

if(empty($uname)) {
    header ("Location: index.php?error=User Name is Required");
    exit();
}
else if(empty($pass)) 
    header("Location: index.php?error=Password is Required");
    exit() 


$sql = "SELECT * FROM users WHERE user_name='$uname' AND password='$pass'";

$result = mysqli_query($conn, $sql);

if(mysqli_num_rows($result) === 1) {
    $row = mysqli_fetch_assoc($result);
    if($row['user_name'] === $uname && $row['password'] === $pass) {
        echo "Logged In!";
        $_SESSION['user_name'] = $row['user_name'];
        $_SESSION['name'] = $row['name'];
        $_SESSION['id'] = $row['id'];
        header("Location: home.php");
        exit();
    }
    else{  
        header("Location: index.php?error=Incorrect User Name or Password");
        exit(); 
    }    
}
else {
    header("Location: index.php");
    exit();
}

私が試したこと：

エラーがあることを示しているので、27行目を見ましたが、困惑していますか? 予期しない変数が何であるかわかりません。助けてください。

エド

解決策 1

上記の行にセミコロンがありません。

    header("Location: index.php?error=Password is Required");
    exit() 
          ^

$sql = "SELECT * FROM users WHERE user_name='$uname' AND password='$pass'";

しかし…コーディング中に毎日、おそらく1日に何度も構文エラーが発生することを予期する必要があります-経験の有無に関係なく、私たちは皆そうです! 変数やキーワードのスペルを間違えることがあります。文字列やコードブロックを閉じるのを忘れることがあります。猫があなたのキーボードの上を歩いて、とても奇妙なことをタイプすることがあります。メソッド呼び出しに必要なパラメーターの数を忘れてしまうことがあります。

我々はすべての間違いを犯します。

そして、私たちは皆そうしているので、構文エラーを修正する必要があります。他の誰かが修正してくれるのを待つよりも、方法を学んで自分で修正する方がはるかに迅速です! したがって、エラーメッセージの読み方と、コンパイラが間違っていると言っていることに照らして記述されたコードを解釈する方法を学ぶことに少し時間を費やしてください。

だからこれを読んでください：問題を解決するコードの書き方、初心者向けガイドパート 2: 構文エラー[^] – 次回コンパイルエラーが発生したときに役立つはずです。

もう 1 つ知っておくべきことがあります。決して SQL をそのように使用しないでください。文字列を連結して SQL コマンドを作成しないでください。データベース全体を破壊する可能性のある、偶発的または意図的な SQL インジェクション攻撃にさらされる可能性があります。代わりに、常にパラメーター化されたクエリを使用してください。

文字列を連結すると、SQL が次のようなコマンドを受け取るため、問題が発生します。

SQL

SELECT * FROM MyTable WHERE StreetAddress = 'Baker's Wood'

ユーザーが追加した引用符は、SQL に関する限り文字列を終了させ、問題が発生します。しかし、それはもっと悪いかもしれません。代わりに「x’;DROP TABLE MyTable;–」と入力すると、SQL は非常に異なるコマンドを受け取ります。

SQL

SELECT * FROM MyTable WHERE StreetAddress = 'x';DROP TABLE MyTable;--'

どの SQL が 3 つの別個のコマンドとして認識されるか:

SQL

SELECT * FROM MyTable WHERE StreetAddress = 'x';

完全に有効な SELECT

SQL

DROP TABLE MyTable;

完全に有効な「テーブルの削除」コマンド

SQL

--'

そして、それ以外はすべてコメントです。
一致する行を選択し、DB からテーブルを削除し、それ以外は無視します。

したがって、常にパラメーター化されたクエリを使用してください。または、DB をバックアップから頻繁に復元する準備をしてください。バックアップは定期的に取っていますよね？