php - 真的有必要用 PHP 的 mysqli 准备语句吗？

Question

目前我有一些像这样的数据库包装函数:

function db_escape($str) {
    return mysql_real_escape_string($str);
}

function db_query($sql) {
    global $LINKID;
    return mysql_query ($sql, $LINKID);
}

function db_fetch_array($result) {
    return mysql_fetch_array ($result, MYSQL_ASSOC);
}

在我的代码中，我可以做如下事情:

$result = db_query('SELECT userid, first_name, last_name FROM user 
                    WHERE email = "' . db_escape($email) . '"');

if ($result) {
    $user = db_fetch_array($result);
}

这背后的一个想法是，当我从 mysql 切换到 mysqli 时，只需几分钟即可更新我的包装函数，而且我不必替换数百个 mysql_real_escape_string() 实例、mysql_query() 和 mysql_fetch_array() 跨越数百个不同的项目。

唯一的问题是上面的内容可以很容易地转换为标准的过程 mysqli 函数，但不能转换为准备好的语句。

这重要吗？似乎每个教程都说准备好的语句对于安全性和性能很重要，但是目前:

1. 我的项目都没有性能问题。
2. 我对将用户输入转换为预期类型(字符串、整数、 float 等)以及手动转义查询中任何地方使用的任何用户输入非常厌恶。

考虑到这一点，是否真的有必要为过去或 future 的项目切换到准备好的语句？

Answer 1

我认为您应该考虑长期利益。例如，如果将来您不再是该项目的开发人员，使用非准备语句的习惯将传递给下一个开发人员，并且:

I am extremely anal about casting user input to the expected type (string, integer, float, etc.) and also manually escaping any user input that's used anywhere in a query.

可能不再是真的了。即使你说你非常小心，但在某些时候你会犯错误或忘记(是的，人们犯了!这就是事情破裂的原因)那么这将是一个问题。

以下面的案例为例。你觉得安全吗？

$id = $_POST['id'];
$result = db_query('SELECT userid, first_name, last_name FROM user 
                WHERE userid = ' . db_escape($id) );