PHP和MySQL表单提交

Question

在此代码块中，我应将mysqli_real_escape_string（）放在哪里？

或者，如果您有更好的方式编写整个模块，我很想听听。

<?php 
$title = ($_POST["title"]); 
$date = ($_POST["date"]); 
$content = ($_POST["content"]); 

$query = "INSERT INTO months ("; 
$query .= " title, date, content "; 
$query .= ") VALUES ("; 
$query .= " '{$title}', '{$date}', '{$content}' "; 
$query .= ")"; 
mysqli_query($connection, $query); ?>

Answer 1

最好使用准备好的语句。

$stmt = mysqli_prepare($connection, "INSERT INTO months (title, date, content) 
                                VALUES(?, ?, ?)");

mysqli_stmt_bind_param($stmt, "sss", $title, $date, $content);
$title = $_POST["title"]; 
$date = $_POST["date"]; 
$content = $_POST["content"]; 
mysqli_stmt_execute($stmt);

当使用转义函数和字符串连接时，在某些情况下仍可能进行sql注入。 预准备语句的工作方式不同，因此可以防止sql注入。 https://stackoverflow.com/a/60496/3595565

Answer 2

尝试这个 ：

$title = mysqli_real_escape_string($_POST["title"]); 
$date = mysqli_real_escape_string($_POST["date"]); 
$content = mysqli_real_escape_string($_POST["content"]);