php - 这个字符串替换足以抵御 SQL 注入(inject)攻击吗？

Question

我正在尝试评估一种自定义的 CMS。开发人员针对 SQL 攻击使用的保护措施是:

 str_replace("'", "\'", $_POST[$variable]);

这是否足够好，或者有什么方法可以利用它来注入(inject) SQL 代码？

PS:我知道标准方法是使用 mysql_real_escape_string()，但我想了解代码的总体质量。

Answer 1

没有。放入一些 UTF8 字符，这会导致代码出现乱码或被转义。

使用 mysqli/PDO，或者如果必须，使用 mysql_real_escape_string。