此问题已在此处找到答案：

在mysql中何时使用单引号、双引号和反勾号（13个答案）
如何防止php中的sql注入(（28个答案）
昨天关门了。
我试图在我的sql语句中放置一个php变量。我使用的变量是$business。我首先在where子句中使用了一个固定值，如下所示。

AND user.bedrijf = ‘CBMS’

这将很好地工作，编写的函数将在执行查询后提供表的行数。但是当我替换php变量的值时，没有结果。是否有人知道如何正确使用我的变量，以便函数正常工作？

$business = $_POST["bedrijf"];

function fetch_data_cbms()
{
    $rowcount_result_cbms = '';
    require 'includes/dbh.inc.php';
    $sql_cbms = "SELECT *
                    FROM `user`, `cbms`
                    WHERE user.login = cbms.user
                    AND user.bedrijf = $business
                    GROUP BY user";
    if ($result_cbms=mysqli_query($conn, $sql_cbms)) {
        $rowcount_result_cbms = mysqli_num_rows($result_cbms);
        return $rowcount_result_cbms;
    }
}