php - 安全地转义原始 SQL 查询中的变量

Question

我只是想知道，以下内容是否完全安全，或者有人能够使用十六进制字符等绕过它:

$name = mysql_real_escape_string(htmlentities(stripslashes($_REQUEST['name'])));
$query ="SELECT * FROM Games WHERE name LIKE '%{$name}%'";

谢谢。

我知道我可以使用 PEAR 和其他库来制作预制语句。然而，这个问题专门针对原始查询。

Answer 1

mysql_real_escape_string 可以解决这个问题，.,

[编辑]

用于字符串:

$str = mysql_real_escape_string($input);

对于数值类型转换就足够了，例如:

$val = (int)$input;