mysql - 尽管 PHP 魔术引号成功 SQL 注入(inject)

Question

我一直读到 Magic Quotes 根本无法阻止 SQL 注入(inject)，但我无法理解为什么不能!例如，假设我们有以下查询:

SELECT * FROM tablename
  WHERE email='$x';

现在，如果用户输入 $x=' OR 1=1 --，查询将是:

SELECT * FROM tablename
  WHERE email='\' OR 1=1 --';

反斜杠将由 Magic Quotes 添加，不会造成任何损害!

有没有一种方法我看不到用户可以在此处绕过 Magic Quote 插入？

Answer 1

诀窍通常是传递一个二进制值，以便反斜杠成为有效多字节字符的一部分。这是 blog post关于它。