php - mysql 避免sql注入(inject)

Question

我有很多功能，比如

updateUser($id,$username,$email)
updateMusic($id, $music)

等...

是否有避免 SQL 注入(inject)的通用函数？

我只想避免对每个参数使用 mysql_real_escape_string

$username = mysql_real_escape_string($username);
$email= mysql_real_escape_string($email);
$music= mysql_real_escape_string($music);

Answer 1

• 始终使用准备好的语句

• 不要使用mysql驱动，使用mysqli或PDO