mysql - 哪些 SQL 注入(inject)方法不是 "destroyed"by mysql_real_escape_string();？

Question

是否有一个 SQL 注入(inject)方法的列表不能仅使用 mysql_real_escape_string(); 和 utf8 编码来保护？

对于整数，我使用 intval();是否足够安全？

对于那些认为我想获得“教程”来破解任何人的人:不，我不会。我只想知道如何让我的应用程序更安全，我想知道它们是否 99% 安全以防黑客攻击

Answer 1

如果给定一个有效的数据库连接，mysql_real_escape_string() 应该在所有情况下都是安全的字符串数据(this answer 中描述的罕见异常(exception))。

但是，字符串之外的任何内容都不会转义:

$id = mysql_real_escape_string($_GET["id"]);

mysql_query("SELECT * FROM table WHERE id = $id");

仍然容易受到攻击，因为您不必“突破”字符串来添加恶意的附加命令。