PHP-SQLクエリを一重引用符または二重引用符で囲みますか？

PDO を使用します これらのアプローチの代わりに。文字列の代わりにパラメータを使用できるようになります。

$sth = $dbh->prepare('SELECT * FROM users WHERE username = :username AND password = :password LIMIT 1');
$sth->bindParam(':username', $username, PDO::PARAM_STR);
$sth->bindParam(':password', $password, PDO::PARAM_STR);
$sth->execute();

ちなみに、プレーンテキストのパスワードを同時に使用していないことを確認してください。