php - mysql_escape_string 根本不应该使用吗？如果不是，还有什么替代方案？

Question

我有一堆没有正确清理的代码。最好的办法就是绑定(bind)变量，这个页面http://php.net/manual/en/function.mysql-escape-string.php说 mysql_escape_string 根本不应该被使用(我正在使用 5.3.2)。

在 5.3.0 以上的版本中，mysql_escape_string 根本不起作用吗？

编辑:我知道绑定(bind)是最好的方法，但是有一堆旧代码需要清理。那么如果我使用mysql_escape_string，它会根本不起作用吗？没用吗？

Answer 1

最好的选择是使用准备好的/参数化的查询和 PDO 之类的东西。如果您想坚持使用更原生的方式与 MySQL 交互，您也可以使用 MySQLi。通过参数化查询，数据的发送独立于 SQL，因此就 SQL 注入(inject)而言本质上是安全的。

如果您正在直接寻找mysql_escape_string()的替代品，那就是mysql_real_escape_string()。它是一个直接替代品，如果您非常关心安全性，则必须使用它。