PHP MySQL 注入(inject)安全 : Does verifying that $_GET input is numeric provide enough protection?

Question

我意识到我的应用程序的以下部分有可能被 MySQL 注入(inject)。

$id= $_GET['id'];
$query = "SELECT * FROM clients WHERE id = $id";
//run query

在运行 MySQL 查询之前检查 is_numeric($id) 是否足够安全？或者我是否有必要使用准备好的语句重写我的代码？

Answer 1

您应该使用准备好的语句，因为 mysql_* 函数已弃用。也就是说，数值将使该 SQL 语句绝对安全，因为 SQL 注入(inject)要求变量中实际包含类似 SQL 的语句。

一个例子是1;-