php - 如果我有一个 而不是 ，我需要使用 mysql_real_escape_string 吗？

Question

如果我有一个搜索输入而不是帐户/密码输入，我需要使用 mysql_real_escape_string 吗？
可能是 sql 注入(inject)？？ $sql just select where limit row

<input type="text" name="search">

include"set.php";
$search=$_POST["search"];
if(strlen($search)) >= $min_length){
    $sql="select * from $tbl where subject or content like '%search%';";
    ..  
}

(mysql: subject 和 content 都是 'text' 类型)


如果我需要使用，我会尝试这个但不起作用。

include"set.php";
$search=mysql_real_escape_string($_POST["search"]);
if(strlen($search)) >= $min_length){
    $sql="select * from $tbl where subject or content like '%search%';";
    ..
    if(mysql_num_rows($query)>0){
        while ($list= mysql_fetch_array($query)){
            $subject=$list[subject];
            $content=$list[content];
            $...=$list[...];
            print "subject: $subject, ....";
        }
    }
    else{
         print "no results";
    }
}
else{
print "minimum length is". $min_length;
}

Answer 1

您需要使用准备好的语句而不是转义(一直是)。