php - 转义多个字符串的好习惯

Question

一次转义多个字符串(来自 POST 或 GET 的字符串)时，这是一个好习惯吗？

还有什么我应该考虑或做不同的事情吗？我现在有 PDO，但在此代码中我不想使用它。

class Bo extends Db
{
    function clean($cThis)
    {
        $res = array();
        foreach (array_keys($cThis) as $key) {
            $res[$key] = mysql_real_escape_string(addslashes($cThis[$key]));
        }
        return $res;
    }

    function add($info)
    {
        $this->dbConnect();
        $cInfo = $this->clean($info);

        mysql_query("INSERT INTO table (b, c) VALUES ('".$cInfo['b']."', '".$cInfo['c']."')");
        $this->dbDisconnect();
    }
}

Answer 1

好的做法是使用 PDO和 prepared statements ，不是手动转义字符串并将它们连接到查询中，例如:

$db = DB::connect($dsn);
$sth = $db->prepare("INSERT INTO table (b, c) VALUES (?, ?)");
$res = $sth->execute(array($info['b'], $info['c']));
$db->disconnect()

哦，还要确保 gpc_magic_quotes 也被禁用!