php - 什么时候应该转义 MySQL 中使用的字符串

Question

我是 PHP 的新手，但已经熟悉 StackOverflow 一段时间了。

我最近一直在阅读有关使用 mysql_real_escape_string 的适当时间的信息，希望对以下任何建议表示感谢。

在初始 $_POST 变量上使用一次 mysql_real_escape_string 是否足以通过脚本保护字符串？

例如:

$username = mysql_real_escape_string($_POST["username"]);
$password = mysql_real_escape_string($_POST["password"]);
$email = mysql_real_escape_string($_POST["email"]);
$repeat_password = mysql_real_escape_string($_POST["repeat_password"]);

我在运行一堆 if 语句之前声明了这些值，最后一旦 if 语句完成，我就将 INSERT 插入到 mysql 数据库中:

mysql_query("INSERT INTO users (username, password, email, signup_date) VALUES ('$username', '$password', '$email', CURDATE())") or die(mysql_error());

mysql_real_escape_string 在整个 if 语句的任何其他地方都没有使用 - 这对于新手来说是否足够安全，同时仍然保持一些注入(inject)保护？

Answer 1

不，这不安全。你应该切换到 prepared statements .