php - PHP 序列化对象数据对于 Mysql 注入(inject)是否干净？

Question

如果我为 mysql 注入(inject)进行序列化，是否需要转义我的对象数据？

即:

class Object
{
   public $description;
}

$obj = new Object();
$obj->description = mysql_real_escape_string("this is my crazy string with lot's of bad // characters");

$data = serialize($obj); // <-- $data will be stored in DB

或者这是否足够:

class Object
{
   public $description;
}

$obj = new Object();
$obj->description = "this is my crazy string with lot's of bad // characters";

$data = serialize($obj);

Answer 1

是的，您必须对其进行转义(或使用准备好的语句)。

<?php
$obj = (object) array("--'--'" => "--'--");
var_dump(serialize($obj));

产量

string(44) "O:8:"stdClass":1:{s:6:"--'--'";s:5:"--'--";}"

如您所见，无法转义。

附带说明一下，您应该使用 mysqli新代码的扩展，而不是 mysql 扩展。