php - mysql_real_escape_string 转换为 mysqli

Question

好的，我想知道如何将这个 mysql 代码转换为 mysqli。

function protect($string) {
return mysql_real_escape_string(strip_tags(addslashes($string)));
}

我知道你将 mysql 更改为 mysqli，但它要求 2 个与 mysql 一起使用的参数，所以我想在 mysqli 中看到它

而且我还没有在 stackoverflow 上找到有人对新的 mysqli 版本有疑问，所以我无法找到自己

Answer 1

最好根本不要使用它!

mysql_real_escape_string() 是一种用于防止 SQL 注入(inject)的 hack，但它甚至没有 100% 做到这一点。此功能从来就不是为了保护任何东西。这是一个简单的字符串格式化函数。

mysqli_real_escape_string() 是另一个使转换更容易的技巧。尽管在撰写本文时 mysql_* 已被弃用很长时间，但没有人应该有任何借口使用某种垫片进行过渡，因为每个人都应该已经在使用 MySQLi 并准备好了声明甚至更好的 PDO。

至于 strip_tags() 和 addslashes() 它们在这种情况下毫无用处，只会破坏您的数据。不要使用它们。

为了防止 SQL 注入(inject)，应该使用准备好的语句并确保没有变量输入直接插入到 SQL 中。

例如:

$stmt = $mysqli->prepare('SELECT columnA FROM tableB WHERE columnC=?');
$stmt->bind_param('s', $someVariable);
$stmt->execute();
$result = $stmt->get_result();