email=?の意味

Question

http://w.builwing.info/2011/08/26/codeigniterで会員サイトログインページの作成/

このページのコードの18行目、email =?のはてなってどういう意味なんでしょうか。

Answer 1

18	   $sql="SELECT * FROM members WHERE email=? AND passw=?";
19	   $query=$this->db->query($sql,array($email,$passw));
20             //もしクエリの行数が1件以上あれば
21	       if($query->num_rows() > 0)
22	       {
23	           $this->session->set_userdata(
24	               array('email'=>$email,'passw'=>$passw));
25	           $this->load->view('top');
26	       }else{
27	           $error=array('login_err'=>'メールアドレスかパスワードが違います');
28	           $this->load->view('login',$error);
29	       }

ですからして、18行の$sqlが19行の$sqlに紐付いてarray($email,$passw)が18行の?に順に嵌め込まれます。

Zuishin様の言われている「エスケープをちゃんとしないと SQL インジェクションに弱くなります。」
の反意が4行の
$this->form_validation->run('login')
で実装されてます。

Answer 2

SQL パラメータです。実際に SQL を発行するときにはここにデータが挿入されます。

SQL をハードコーディングしたのでは状況に合わせて動的にデータを検索する事ができず、文字列連結を使って自分で組み立てたのではエスケープをちゃんとしないと SQL インジェクションに弱くなります。
このため、パラメータを使います。