关于数据库安全

Question

我在mysqli（）中使用准备好的语句； 在我的网站上插入和检索数据时，我也使用bind_param，所以我不直接在查询中添加变量。我使用strip_tags清除所有输入，我还要注意什么？

Answer 1

不要在数据库输入上使用strip_tags（）：在浏览器输出上使用htmlentites（）（或在适当的情况下使用urlencode（））。