php - 为什么转义 SQL 值需要打开连接？

Question

为了清楚起见，谁能解释为什么 mysqli_real_escape_string 必须阅读:

$query = mysqli_real_escape_string($conn,"SELECT * FROM tbl");

不只是:

$query = mysqli_real_escape_string("SELECT * FROM tbl");

感谢您的帮助!

Answer 1

因为字符集编码。

如果没有 $conn，mysqli_real_escape_string() 将无法检测连接使用的字符编码，并且会盲目地尝试转义 common 危险字符 - 留下一些潜在危险的字符集黑客攻击。

真实(未模拟)准备好的语句甚至更好(或更安全，如您所愿)，因为它们采用列的字符编码连接考虑在内。