Как исправить ошибку: Argument 1 passed to User::Auth() must be an instance of string, string given?

@finkel А как сделать из простой строки объект класса string, на будущее мне,

@Melkij Насчет badlogin'а, я просто скопировал код с прям с темы, которую создавал на другом форуме, где мне не помогли.
Создавал я, тогда, когда только появилась ошибка.
А пока искал решение, уже без string, тестировал и нашел эту ошибку. А еще эта функция в этом же классе, а я ее без this вызывал.

@Melkij А что вы имеете ввиду под "В следующей строке предполагается, что экранировать данные должен клиентский код, а не DBAL самостоятельно?"?

@Avery007 , вы подставляете в SQL запрос строковые значения.
Во-первых, так делать нельзя. Используйте prepared statements.
Во-вторых, вы их подставляете без какого-либо экранирования. Значит экранированием должен заниматься код, который вызывает этот метод (клиентским обычно называется, т.к. пользователь этого класса), что неверно, или экранирования не происходит вовсе. Привет уязвимости.

@Melkij я использую этот класс для БД: habrahabr.ru/post/165069 . Функциями безопасности занимается он.

@Avery007 вы вставляете значения напрямую в запрос.
Если бы в полученной _одной слитной_ строке было возможно отделить данные от управляющих команд - такого понятия как SQL-инъекция бы не существовало, сам сервер СУБД бы и разбирал что где. Но это невозможно. Значит, у вас дыра открыта.
Проверяется же элементарно.

@Melkij насколько я знаю, экранирует кавычки, с помощью которых инъекция и делается, функция mysqli_real_escape_string. Так вот, прежде чем отправить запрос к БД, этот класс прогоняет запрос через эту функцию и другие. Мне это делать не надо.

@Melkij Да и это только заготовка методов, проверять аргументы я буду уже в другом классе, прежде чем их отсылать.

@Avery007 вам это делать не надо, если вы правильно пользуетесь этой библиотекой. А это предположение неверно.

Тупая логика:
Вызывается метод getRow с единственным аргументом:

SELECT * FROM `users` WHERE login='root' -- '' and password='somepassword'

Вот каким образом этот метод должен узнать, что этот запрос должен быть приведён к виду:

SELECT * FROM `users` WHERE login='root\' -- \'' and password='somepassword'

?

Посмотрите на статью, на которую сами сослались. Я даже процитирую:
"Любые — без исключений! — динамические элементы попадают в запрос только через плейсхолдеры."
Где у вас хотя бы один плейсхолдер?

@Melkij Перечитал еще раз, выше вашей цитаты в тексте, написано, что "Безопасность обеспечивается теми самыми двумя правилами, которые я сформулировал в статье."
Это объяснение, что встроено в этот класс. То есть запрос, который я пишу в параметре getRow и других функций, используется в запросе только после того, как прошел через эти плейсхолдеры.
Плюс эта цитата:
В двух словах, класс строится вокруг набора функций-хелперов, позволяющих выполнять большинство операций с БД в одну строку, обеспечивая при этом (в отличие от стандартных API) полную защиту от SQL инъекций, реализованную с помощью расширенного набора плейсхолдеров, защищающих любые типы данных, которые могут попадать запрос.

@Melkij Упс, понял свой косяк. Буду исправляться. Спасибо.