PHP Datenbankabfrage geht mit POST-Variable nicht

[Bierbank1337]

hallo, ich habe folgende Abfrage:

$sql="SELECT punkte FROM users WHERE name=".$_POST['name']."";
foreach($pdo->query($sql) as $row)
{
	$punkte=$row['punkte'];
}

aber irgendwie nimmt er die POST-variable nicht, erstelle ich vorher eine temporäre und ändere die 1. Zeile mit

$sql="SELECT punkte FROM users WHERE name='$name'";

geht es... was ist denn da falsch bitte ?

 

[faltermayer]

Gib dir doch mal mit echo $sql die generierte Query aus.

 

[Skaro]

Und so entsteht SQL Injection...

P.S. die Anführungszeichen fehlen links und rechts von der POST Variable.

 

[alxtraxxx]

Siehe Skaros Kommentar, nimm Prepared Statements