避免使用mysql_real_escape_string和stripslashes進行SQL注入

Question

這是防止在運行數據庫查詢之前進行SQL注入的好方法嗎？

$name = mysql_real_escape_string(stripslashes($name));
$age = mysql_real_escape_string(stripslashes($age));
$location = mysql_real_escape_string(stripslashes($location));

提前致謝！

Answer 1

這很好地回答了：

• mysql_real_escape_string（）與 Ilia Alshanetsky的預准備語句

所以，你可以做什么？ 解決方案是使用預處理語句 ，幾乎所有PHP數據庫擴展都支持該語句 ，但MySQL（ext / mysql）和SQLite2（ext / sqlite）除外。 因此，為了安全起見，我建議使用PDO接口與這些數據庫進行對話，或者如果使用MySQL，則建議使用較新的MySQLi（ext / mysqli）擴展。 這些接口提供了准備好的語句支持，從而允許在查詢結構和查詢參數之間進行分隔。

因此，為了安全起見，不要僅依靠mysql_real_escape_string ，使用准備好的語句會更好。