PHP MySQL 注入(inject)保护

Question

这个问题已经有答案了:

已关闭 10 年前。

Possible Duplicate:
Best way to prevent SQL injection in PHP?

当使用从另一个页面传递的变量时，我调用以下函数。我的问题是，我可以向其中添加 urlencode 信息并使用一个函数，还是最好为通过地址栏与隐藏表单字段传递信息的变量提供单独的函数？

我没有使用 PDO，并且尽可能进行类型转换。

function checkInput($value) {
// Stripslashes
if (get_magic_quotes_gpc())

// Stripslashes
if (get_magic_quotes_gpc())
{
$value = stripslashes($value);
}

// Quote if not a number
{
$value = "'" . mysql_real_escape_string($value) . "'";
}
return $value;
}

感谢您的帮助!

Answer 1

Mysqli 还支持准备好的语句。如果 mysqli 不可用，总是有像 PEAR DB 这样的系统也提供准备好的语句。