php - 不使用 mysql 转义字符串进行转义

Question

如何在不使用 SQL 转义字符串来防止 SQL 注入(inject)的情况下转义插入到 MySQL 表中的数据？

我正在使用 Yii 框架，它使用 PDO 并且不支持多个查询。我需要运行多个插入查询并且需要转义插入的值。

Yii::app()->quoteValue 不起作用，因为它在插入到 mysql 中的输入周围放置了引号 ""。是否有可用于防止 SQL 注入(inject)的 PHP 函数？

Answer 1

你可以添加斜线

$string = addslashes($string);

但是，建议您尝试使用正确的 mysql 方法，这样我就不会指望这是一个完美的替代品。