php - mysql 转义 getsqlvaluestring AccID

Question

在各种mysql查询中，查询字符串的结尾部分是:

" WHERE UserID = " . $AccID

在哪里

$AccID = $_SESSION['UID'];

而 UserID 是数据库特定表中的相关 bigint 列。

所以我的问题是:为了安全起见，我是否需要像这样 GetSQLValueString($AccID, "text") 转义 $AccID，或者没有必要，因为它不是从用户输入中获取的？

附注$_SESSION['UID'] 在登录过程中设置，身份验证成功后

Answer 1

是的，你应该逃避它。当您将它放入 $_SESSION 时(您可能想将它用于其他目的)，但在插入查询之前，您不应该对其进行数据库转义。

您最好的选择是使用参数化 SQL 而不是总是通过字符串连接转义和构建您的查询。熟悉PDO . For a better world .